IP 블랙리스트 악용 점수와 교차 검증
IP 악용 점수는 위협 인텔리전스 소스 전반에서 주소가 악성 활동과 얼마나 강하게 연관되어 있는지를 요약하는 숫자이며, 교차 검증은 몇 개의 독립된 피드가 일치하는지에 따라 점수에 가중치를 두는 것을 뜻합니다. 서로 관련 없는 여러 소스에 올라 있는 주소는 노이즈가 많은 단일 목록에 나타나는 주소보다 훨씬 강한 신호입니다.
블랙리스트 하나로는 부족한 이유
블랙리스트는 서로 다른 목적으로 만들어졌고 실패 방식도 다릅니다. 한 목록은 스팸 발송자를, 다른 목록은 봇넷 명령 서버를, 또 다른 목록은 열린 포트를 탐색하는 스캐너를 추적할 수 있습니다. 목록은 민감하여 너무 많이 표시하거나, 보수적이어서 뒤처질 수 있습니다. 악용이 멈춘 뒤 주소가 무고한 고객에게 재할당되어 낡은 항목이 된 경우도 있습니다. 단일 피드만으로 차단하면 그 피드의 사각지대와 실수를 그대로 물려받습니다. 모두 무시하면 실제 공격을 놓칩니다.
교차 검증이 표준적인 해법입니다. 각 피드를 증인으로 취급하고 일치 여부를 살펴봅니다. 근거는 통계적입니다. 독립된 소스가 같은 시점에 같은 주소에 대해 같은 실수를 하는 일은 드물기 때문에 일치는 신뢰도를 높이고, 단독 등재는 더 낮은 점수와 더 완만한 대응을 받아야 합니다. 지오로케이션의 국가 대 도시 논점이 평판에도 그대로 적용되는 셈입니다. 독립적인 증거가 하나의 주장을 더 많이 뒷받침할수록 더 신뢰할 수 있습니다.
피드로부터 IP 악용 점수가 만들어지는 방식
IP 악용 검사기는 여러 위협 인텔리전스 소스에서 주소가 어떻게 평가되는지를 보고하고 이를 악용 점수와 위험 등급으로 압축합니다. 내부적으로 ipto는 IPsum 집계 블록리스트와 Spamhaus DROP 및 EDROP 목록을 포함한 공개 피드를 집계합니다. IPsum은 주소를 언급하는 기반 블록리스트의 수를 세며, ipto는 그중 최소 세 곳에 나타나는 주소만 포함하고 점수 상한을 10으로 둡니다. Spamhaus DROP와 EDROP는 탈취되었거나 범죄 조직이 통제하는 네트워크 범위를 선별한 목록이므로 이 항목들은 척도의 최상단 점수를 받습니다. 같은 범위가 둘 이상의 피드에 나타나면 가장 높은 점수를 유지합니다.
점수는 위험 등급에 대응됩니다. 8 이상은 critical, 5에서 7은 high, 그보다 낮으면 medium입니다. 결과에는 주소가 속한 네트워크도 표시되는데, 악용은 단일 호스트가 아니라 특정 범위나 운영자에 집중되는 경우가 많기 때문입니다. 악용 네트워크 페이지는 가장 악용이 심한 범위를 나열하고, 위협 피드 페이지는 6시간마다 갱신되는 실시간 VPN, Tor, 고위험 목록을 보여 줍니다. 조회 API에서 결과에는 is_vpn, is_tor, is_datacenter와 함께 is_abuser가 포함됩니다.
이 점수가 아닌 것
이것은 평판 점수이며 메일 서버 DNS 블록리스트 조회가 아니므로, 특정 수신 제공업체로의 이메일 전달을 진단할 때 그것을 대신해서는 안 됩니다. 또한 어떤 피드에도 기록되지 않은 행동은 볼 수 없습니다. 기록이 없는 갓 침해된 호스트는 깨끗한 점수를 받습니다. 공유되었거나 재할당된 주소는 이전 사용자의 평판을 이어받을 수 있습니다. 통신사급 NAT는 문제를 더 심각하게 만드는데, 하나의 모바일 주소가 서로 관련 없는 많은 사람에게 사용될 수 있기 때문입니다. ipto는 주거용 프록시 네트워크를 탐지하지 않으므로, 일반 가정 연결을 경유하는 트래픽은 이 피드에서 표시되지 않습니다.
피드 간 불일치 읽기
교차 검증은 피드가 일치할 때만큼 불일치할 때도 유용합니다. 어떤 범위가 선별된 하이재킹 목록에는 있지만 그 안의 개별 호스트를 언급하는 곳이 없다면, 침해된 고객 컴퓨터가 아니라 운영자의 문제일 가능성이 높으며, 개별 호스트에 이력이 없더라도 범위를 차단하는 것이 맞을 수 있습니다. 한 호스트가 집계 목록에 낮은 횟수로만 나타나고 다른 곳에는 없다면, 이미 정리된 단기 감염일 수 있습니다. 악용 네트워크 목록처럼 각 점수에 출처 피드를 함께 보여 주면, 분석가는 단순한 숫자를 신뢰하는 대신 판정에 이른 이유를 확인할 수 있습니다.
점수에 따라 조치하기
신뢰도에 맞춰 대응하세요. 데이터센터 범위에서 로그인 엔드포인트를 공격하는 critical 점수라면 차단이나 강한 챌린지가 합리적입니다. 중간 점수라면 거부하는 대신 CAPTCHA, 이메일 확인, 더 낮은 속도 제한 같은 마찰을 추가하세요. 점수가 없다면 특별한 조치는 하지 않되, 문제없다는 보증으로 취급하지는 마세요. 오탐을 검토하고 임계값을 조정할 수 있도록 각 결정과 함께 점수를 기록하세요.
에스컬레이션하기 전에 평판을 다른 신호와 결합하세요. 사기 점수 검사기는 IP 평판, 일회용 이메일 탐지, 전화번호 검증, User-Agent 분류를 하나의 0에서 100 사이 점수로 합치고 각 신호가 얼마나 기여했는지 보여 줍니다. 이렇게 하면 결과를 설명할 수 있는데, 정당한 고객이 왜 챌린지를 받았는지 물을 때 이것이 중요합니다. 무료 피드의 관련된 장단점은 VPN 탐지 방식 비교를 참고하고, 응답 필드는 API 문서에서 확인하세요. 무료 키는 가입 없이 하루 1,000건의 요청을 허용합니다.