IPブラックリストの不正利用スコアと裏付け
IP不正利用スコアとは、脅威インテリジェンスの情報源全体で、そのアドレスが悪意ある活動とどれほど強く関連付けられているかを要約した数値です。裏付け(コラボレーション)とは、互いに独立した複数のフィードが一致している数に応じてスコアに重み付けすることを指します。無関係な複数の情報源に載っているアドレスは、ノイズの多い1つのリストにだけ現れるアドレスよりも、はるかに強いシグナルです。
単一のブラックリストでは不十分な理由
ブラックリストは目的が異なるため作られ、失敗の仕方も異なります。あるリストはスパム送信元を、別のリストはボットネットの指令サーバーを、さらに別のリストは開いているポートを探索するスキャナーを追跡しています。リストは敏感で検出しすぎることもあれば、保守的で遅れることもあります。不正が止んだ後にアドレスが無実の顧客に再割り当てされたため、古くなっているエントリもあります。単一のフィードだけでブロックすれば、そのフィードの死角と誤りを引き継ぎます。すべてを無視すれば、本物の攻撃を見逃します。
標準的な答えが裏付けです。各フィードを証人として扱い、一致を探します。理屈は統計的です。独立した情報源が、同じアドレスについて同時に同じ間違いをすることはまれなので、一致すれば確信度が上がり、単独のリスト入りには低いスコアと穏やかな対応が適切です。ジオロケーションの国と都市の精度の話が評判にも当てはまるのはこのためで、独立した証拠が主張を支えるほど、その主張を信頼できます。
IP不正利用スコアがフィードからどう作られるか
IP不正利用チェッカーは、複数の脅威インテリジェンスの情報源でアドレスがどう見られているかを報告し、それを不正利用スコアとリスク階層にまとめます。内部では、ipto がIPsumの集約ブロックリストや、SpamhausのDROPリストとEDROPリストなどの公開フィードを集約しています。IPsum自体は、そのアドレスに言及している基になるブロックリストの数を数えており、ipto は少なくとも3つのリストに載っているアドレスだけを含め、スコアの上限を10としています。SpamhausのDROPとEDROPは、乗っ取られた、あるいは犯罪者が管理するネットワーク範囲を人手で整備したリストなので、そのエントリはスケールの最上位にスコア付けされます。同じ範囲が複数のフィードに現れる場合は、最も高いスコアが採用されます。
スコアはリスク階層に対応しています。8以上はcritical、5〜7はhigh、それ未満はmediumです。結果にはアドレスが属するネットワークも表示されます。不正は単一のホストではなく、範囲や運用者に集中することが多いため、これは重要です。不正ネットワークのページには最も不正の多い範囲が一覧され、脅威フィードのページには、6時間ごとに更新されるVPN、Tor、高リスクのリストがライブで表示されます。検索APIでは、結果に is_vpn、is_tor、is_datacenter と並んで is_abuser が含まれます。
スコアが示さないもの
これは評判スコアであり、メールサーバー向けのDNSブラックリストへの問い合わせではありません。特定の受信プロバイダーへのメール配信を診断する際に、その代わりにしてはいけません。また、どのフィードにも記録されていない挙動は見えません。履歴のない、侵害されたばかりのホストは、クリーンなスコアになります。さらに、共有アドレスや再割り当てされたアドレスは、以前の利用者の評判を引き継ぐことがあります。キャリアグレードNATは問題を深刻にします。1つのモバイルアドレスが、無関係な多数の人々にサービスを提供し得るからです。ipto は住宅用プロキシネットワークを検出しないため、一般の家庭回線を経由するトラフィックは、これらのフィードでフラグが立ちません。
フィード間の不一致を読む
裏付けは、フィードが一致するときだけでなく、食い違うときにも役立ちます。ある範囲が人手で整備された乗っ取りリストに載っているのに、その中の個々のホストに誰も言及していない場合、侵害された顧客のマシンではなく運用者の問題である可能性が高く、単一のホストに履歴がなくても、範囲をブロックするのが正しいかもしれません。1つのホストが、集約リストに低いカウントで載っているだけで他のどこにもないなら、すでに駆除された短期間の感染かもしれません。不正ネットワークの一覧のように、各スコアに情報源のフィードを併記しておけば、アナリストはむき出しの数値を信じるのではなく、判定に至った理由を確認できます。
スコアに基づく対応
確信度に応じて対応を合わせます。ログインエンドポイントにアクセスしてくるデータセンター範囲でcriticalのスコアなら、ブロックや厳格なチャレンジが妥当です。中程度のスコアには、拒否ではなく摩擦を加えます。CAPTCHA、メール確認、より低いレート制限などです。スコアがない場合は特別なことはしませんが、問題なしの証明とは見なさないでください。判断ごとにスコアを記録しておけば、誤検知を見直し、しきい値を調整できます。
エスカレーションする前に、評判を他のシグナルと組み合わせてください。不正スコアチェッカーは、IPの評判、使い捨てメールの検出、電話番号の検証、User-Agentの分類を0〜100の1つのスコアに統合し、各シグナルの寄与度を表示します。そのため結果が説明可能になり、正当な顧客がなぜチャレンジされたのかを尋ねてきたときに重要です。無料フィードに関するトレードオフについては、VPN検出手法の比較を参照し、レスポンスのフィールドはAPIドキュメントで確認してください。無料キーはサインアップ不要で、1日1,000リクエストまで利用できます。