IP ब्लैकलिस्ट एब्यूज़ स्कोर और पुष्टि

IP एब्यूज़ स्कोर एक संख्या है जो थ्रेट इंटेलिजेंस स्रोतों में बताती है कि कोई पता दुर्भावनापूर्ण गतिविधि से कितनी मज़बूती से जुड़ा है, और पुष्टि (corroboration) का अर्थ है स्कोर को इस आधार पर भार देना कि कितनी स्वतंत्र फ़ीड सहमत हैं। कई असंबंधित स्रोतों द्वारा सूचीबद्ध पता, किसी एक शोर-भरी सूची में दिखने वाले पते की तुलना में कहीं अधिक मज़बूत संकेत है।

एक अकेली ब्लैकलिस्ट पर्याप्त क्यों नहीं है

ब्लैकलिस्ट अलग-अलग उद्देश्यों के लिए बनती हैं और उनकी विफलता के तरीके अलग होते हैं। एक सूची स्पैम भेजने वालों को ट्रैक कर सकती है, दूसरी botnet कमांड सर्वरों को, तीसरी उन स्कैनरों को जो खुले पोर्ट टटोलते हैं। कोई सूची संवेदनशील होकर बहुत कुछ फ़्लैग कर सकती है, या रूढ़िवादी होकर पीछे रह सकती है। कुछ प्रविष्टियाँ पुरानी होती हैं क्योंकि दुरुपयोग रुकने के बाद पता किसी निर्दोष ग्राहक को दोबारा आबंटित हो गया। अगर आप किसी एक फ़ीड के आधार पर ब्लॉक करते हैं, तो आप उसके अंधे बिंदु और गलतियाँ विरासत में पाते हैं। अगर आप सबको अनदेखा करते हैं, तो असली हमले चूक जाते हैं।

पुष्टि इसका मानक उत्तर है: हर फ़ीड को गवाह मानें और सहमति खोजें। तर्क सांख्यिकीय है। स्वतंत्र स्रोत एक ही पते के बारे में एक ही समय पर शायद ही कभी वही गलती करते हैं, इसलिए सहमति विश्वास बढ़ाती है, जबकि अकेली सूचीबद्धता कम स्कोर और नरम प्रतिक्रिया की हक़दार है। geolocation से देश बनाम शहर वाली बात इसी तरह प्रतिष्ठा पर भी लागू होती है: जितना अधिक स्वतंत्र प्रमाण किसी दावे का समर्थन करता है, उतना ही आप उस पर भरोसा कर सकते हैं।

फ़ीड से IP एब्यूज़ स्कोर कैसे बनता है

IP एब्यूज़ चेकर बताता है कि कई थ्रेट इंटेलिजेंस स्रोतों में किसी पते को कैसे देखा जाता है और उसे एब्यूज़ स्कोर तथा जोखिम स्तर में संघनित करता है। पर्दे के पीछे ipto IPsum aggregated blocklist और Spamhaus DROP तथा EDROP सूचियों सहित सार्वजनिक फ़ीड को एकत्र करता है। IPsum स्वयं गिनता है कि कितनी अंतर्निहित ब्लॉकलिस्ट किसी पते का उल्लेख करती हैं, और ipto केवल उन्हीं पतों को शामिल करता है जो उनमें से कम से कम तीन पर दिखते हैं, स्कोर की ऊपरी सीमा 10 रखते हुए। Spamhaus DROP और EDROP हाइजैक की गई या अपराधियों के नियंत्रण वाली नेटवर्क रेंज की क्यूरेट की गई सूचियाँ हैं, इसलिए उनकी प्रविष्टियाँ पैमाने के शीर्ष पर स्कोर पाती हैं। जब वही रेंज एक से अधिक फ़ीड में दिखती है, तो सबसे ऊँचा स्कोर रखा जाता है।

स्कोर जोखिम स्तरों से मैप होते हैं: 8 और उससे ऊपर critical है, 5 से 7 high है, और उससे कम कुछ भी medium है। परिणाम यह भी दिखाता है कि पता किस नेटवर्क का है, जो मायने रखता है क्योंकि दुरुपयोग अक्सर किसी एक होस्ट के बजाय किसी रेंज या संचालक में केंद्रित होता है। दुरुपयोगी नेटवर्क पेज सबसे दुरुपयोगी रेंज सूचीबद्ध करता है, और थ्रेट फ़ीड पेज लाइव VPN, Tor और उच्च-जोखिम सूचियाँ दिखाता है, जो हर 6 घंटे में रिफ़्रेश होती हैं। लुकअप API में परिणाम is_vpn, is_tor और is_datacenter के साथ is_abuser भी देता है।

स्कोर क्या नहीं है

यह प्रतिष्ठा स्कोर है, मेल-सर्वर DNS ब्लॉकलिस्ट क्वेरी नहीं, और किसी विशिष्ट प्राप्तकर्ता प्रदाता तक ईमेल डिलीवरी का निदान करते समय इसे उसका विकल्प नहीं बनाना चाहिए। यह उस व्यवहार को भी नहीं देख सकता जिसे किसी फ़ीड ने दर्ज नहीं किया: बिना इतिहास वाला हाल ही में समझौता किया गया होस्ट साफ़ स्कोर पाएगा। और साझा या दोबारा आबंटित पते पिछले उपयोगकर्ता की प्रतिष्ठा ढो सकते हैं। Carrier-grade NAT समस्या को और तीखा बना देता है, क्योंकि एक मोबाइल पता कई असंबंधित लोगों की सेवा कर सकता है। ipto रेज़िडेंशियल प्रॉक्सी नेटवर्क का पता नहीं लगाता, इसलिए सामान्य घरेलू कनेक्शन से गुज़रने वाला ट्रैफ़िक इन फ़ीड से फ़्लैग नहीं होगा।

फ़ीड के बीच असहमति को पढ़ना

पुष्टि तब उतनी ही उपयोगी है जब फ़ीड असहमत हों जितनी तब जब वे सहमत हों। अगर कोई रेंज क्यूरेट की गई हाइजैक सूची में है लेकिन उसके भीतर के व्यक्तिगत होस्ट का और कोई उल्लेख नहीं करता, तो संभावित कहानी संचालक की समस्या है, किसी समझौता किए गए ग्राहक मशीन की नहीं, और रेंज को ब्लॉक करना सही हो सकता है भले ही किसी एक होस्ट का इतिहास न हो। अगर कोई एक होस्ट aggregated सूची में कम काउंट के साथ दिखता है और कहीं और नहीं, तो वह अल्पकालिक संक्रमण हो सकता है जिसे पहले ही साफ़ कर दिया गया। हर स्कोर के साथ स्रोत फ़ीड दिखाते रहना, जैसा दुरुपयोगी नेटवर्क सूची करती है, विश्लेषक को सिर्फ़ संख्या पर भरोसा करने के बजाय यह देखने देता है कि फ़ैसला क्यों हुआ।

स्कोर पर कार्रवाई करना

प्रतिक्रिया को विश्वास के अनुसार रखें। आपके लॉगिन एंडपॉइंट पर आ रही डेटासेंटर रेंज के critical स्कोर पर ब्लॉक करना या कठोर चैलेंज उचित है। मध्यम स्कोर पर अस्वीकार करने के बजाय अड़चन जोड़ें: CAPTCHA, ईमेल पुष्टि या कम रेट लिमिट। स्कोर न होने पर कुछ विशेष न करें, लेकिन इसे स्वच्छ प्रमाणपत्र न मानें। हर निर्णय के साथ स्कोर दर्ज करें ताकि आप false positive की समीक्षा कर सकें और थ्रेशहोल्ड ट्यून कर सकें।

आगे बढ़ाने से पहले प्रतिष्ठा को अन्य संकेतों के साथ मिलाएँ। फ्रॉड स्कोर चेकर IP प्रतिष्ठा, disposable-ईमेल पहचान, फ़ोन सत्यापन और User-Agent वर्गीकरण को एक 0 से 100 के स्कोर में मिलाता है, और दिखाता है कि हर संकेत ने कितना योगदान दिया। इससे परिणाम समझाने योग्य रहता है, जो तब मायने रखता है जब कोई वैध ग्राहक पूछता है कि उसे चैलेंज क्यों किया गया। फ्री फ़ीड के संबंधित ट्रेडऑफ़ के लिए VPN पहचान के तरीकों की तुलना देखें, और रिस्पॉन्स फ़ील्ड के लिए API दस्तावेज़ देखें। फ्री की बिना साइन-अप के प्रति दिन 1,000 अनुरोधों की अनुमति देती है।

सीधे जवाब