Score d’abus IP et corroboration des listes noires
Un score d’abus IP est un nombre qui résume à quel point une adresse est associée à une activité malveillante dans les sources de renseignement sur les menaces, et la corroboration consiste à pondérer le score selon le nombre de flux indépendants qui concordent. Une adresse listée par plusieurs sources sans lien entre elles est un signal bien plus fort qu’une adresse qui n’apparaît que sur une seule liste bruyante.
Pourquoi une seule liste noire ne suffit pas
Les listes noires sont conçues dans des buts différents et ont des modes de défaillance différents. L’une peut suivre les expéditeurs de spam, une autre les serveurs de commande de botnets, une autre les scanners qui sondent les ports ouverts. Une liste peut être sensible et signaler trop de choses, ou conservatrice et accuser du retard. Certaines entrées sont périmées parce que l’adresse a été réattribuée à un client innocent après la fin des abus. Si vous bloquez sur un seul flux, vous héritez de ses angles morts et de ses erreurs. Si vous les ignorez tous, vous manquez de vraies attaques.
La corroboration est la réponse classique : traitez chaque flux comme un témoin et cherchez la concordance. Le raisonnement est statistique. Des sources indépendantes commettent rarement la même erreur sur la même adresse au même moment ; la concordance augmente donc la confiance, tandis qu’une inscription isolée mérite un score plus faible et une réponse plus douce. C’est aussi ainsi que le point pays contre ville de la géolocalisation s’applique à la réputation : plus les preuves indépendantes soutiennent une affirmation, plus on peut s’y fier.
Comment un score d’abus IP est construit à partir des flux
Le vérificateur d’abus d’IP indique comment une adresse est considérée dans plusieurs sources de renseignement sur les menaces et la condense en un score d’abus et un niveau de risque. En coulisses, ipto agrège des flux publics dont la liste de blocage agrégée IPsum et les listes Spamhaus DROP et EDROP. IPsum compte lui-même combien de listes de blocage sous-jacentes mentionnent une adresse, et ipto n’inclut que les adresses qui figurent sur au moins trois d’entre elles, avec un score plafonné à 10. Spamhaus DROP et EDROP sont des listes organisées de plages de réseau détournées ou contrôlées par des criminels ; leurs entrées obtiennent donc le haut de l’échelle. Lorsque la même plage apparaît dans plus d’un flux, le score le plus élevé est conservé.
Les scores correspondent à des niveaux de risque : 8 et plus est critique, 5 à 7 est élevé, et tout ce qui est inférieur est moyen. Le résultat montre aussi le réseau auquel appartient l’adresse, ce qui compte car les abus sont souvent concentrés dans une plage ou chez un opérateur plutôt que sur un seul hôte. La page des réseaux abusifs liste les plages les plus abusives, et la page des flux de menaces montre les listes VPN, Tor et à haut risque en direct, actualisées toutes les 6 heures. Dans l’API de recherche, le résultat porte is_abuser aux côtés de is_vpn, is_tor et is_datacenter.
Ce que le score n’est pas
C’est un score de réputation, pas une requête sur une liste de blocage DNS de serveurs de messagerie, et il ne doit pas en tenir lieu pour diagnostiquer la délivrance d’e-mails vers un fournisseur destinataire précis. Il ne peut pas non plus voir un comportement qu’aucun flux n’a enregistré : un hôte fraîchement compromis sans historique obtiendra un score propre. Et les adresses partagées ou réattribuées peuvent porter la réputation d’un utilisateur précédent. Le NAT de niveau opérateur aggrave le problème, car une seule adresse mobile peut servir de nombreuses personnes sans lien entre elles. ipto ne détecte pas les réseaux de proxys résidentiels ; le trafic acheminé par des connexions domestiques ordinaires ne sera donc pas signalé par ces flux.
Interpréter le désaccord entre flux
La corroboration est aussi utile quand les flux sont en désaccord que lorsqu’ils concordent. Si une plage apparaît dans une liste de détournement organisée mais que personne d’autre ne mentionne des hôtes individuels à l’intérieur, l’explication probable est un problème d’opérateur, non une machine de client compromise, et bloquer la plage peut être pertinent même si aucun hôte n’a d’historique. Si un hôte apparaît dans une liste agrégée avec un faible compteur et nulle part ailleurs, il peut s’agir d’une infection de courte durée déjà nettoyée. Garder visible le flux source avec chaque score, comme le fait la liste des réseaux abusifs, permet à un analyste de voir pourquoi un verdict a été rendu au lieu de se fier à un nombre brut.
Agir selon un score
Adaptez la réponse à la confiance. Pour un score critique provenant d’une plage de datacenter qui frappe votre point de connexion, le blocage ou un défi strict est raisonnable. Pour un score moyen, ajoutez de la friction plutôt que de rejeter : un CAPTCHA, une confirmation par e-mail ou une limite de débit plus basse. En l’absence de score, ne faites rien de spécial, mais ne le prenez pas pour un certificat de bonne santé. Enregistrez le score avec chaque décision afin de pouvoir examiner les faux positifs et ajuster les seuils.
Combinez la réputation avec d’autres signaux avant d’escalader. Le vérificateur de score de fraude fusionne la réputation de l’IP, la détection d’e-mail jetable, la validation de téléphone et la classification du User-Agent en un seul score de 0 à 100, en montrant la contribution de chaque signal. Cela garde le résultat explicable, ce qui compte quand un client légitime demande pourquoi il a été soumis à un défi. Pour les compromis liés aux flux gratuits, voir comparaison des méthodes de détection de VPN, et consultez la documentation de l’API pour les champs de réponse. Une clé gratuite autorise 1 000 requêtes par jour sans inscription.