Pontuação de abuso de IP e corroboração de listas
Uma pontuação de abuso de IP é um número que resume o quanto um endereço está associado a atividade maliciosa em fontes de inteligência de ameaças, e corroboração significa ponderar a pontuação pelo número de feeds independentes que concordam. Um endereço listado por várias fontes sem relação entre si é um sinal muito mais forte do que um que aparece em uma única lista ruidosa.
Por que uma única lista negra não basta
As listas negras são criadas para finalidades diferentes e têm modos de falha diferentes. Uma lista pode rastrear remetentes de spam, outra servidores de comando de botnets, outra scanners que sondam portas abertas. Uma lista pode ser sensível e sinalizar demais, ou conservadora e ficar defasada. Algumas entradas estão desatualizadas porque o endereço foi reatribuído a um cliente inocente depois que o abuso cessou. Se você bloqueia com base em um único feed, herda seus pontos cegos e seus erros. Se ignora todos, deixa passar ataques reais.
A corroboração é a resposta padrão: trate cada feed como uma testemunha e procure concordância. O raciocínio é estatístico. Fontes independentes raramente cometem o mesmo erro sobre o mesmo endereço ao mesmo tempo, então a concordância aumenta a confiança, enquanto uma listagem isolada merece uma pontuação menor e uma resposta mais branda. É também assim que o ponto de país versus cidade da geolocalização se aplica à reputação: quanto mais evidências independentes sustentam uma afirmação, mais você pode confiar nela.
Como uma pontuação de abuso de IP é construída a partir de feeds
O verificador de abuso de IP informa como um endereço é visto em várias fontes de inteligência de ameaças e o condensa em uma pontuação de abuso e um nível de risco. Por baixo dos panos, o ipto agrega feeds públicos, incluindo a lista de bloqueio agregada IPsum e as listas Spamhaus DROP e EDROP. O próprio IPsum conta quantas listas de bloqueio subjacentes mencionam um endereço, e o ipto só inclui endereços que aparecem em pelo menos três delas, limitando a pontuação a 10. Spamhaus DROP e EDROP são listas curadas de intervalos de rede sequestrados ou controlados por criminosos, então suas entradas pontuam no topo da escala. Quando o mesmo intervalo aparece em mais de um feed, a maior pontuação é mantida.
As pontuações correspondem a níveis de risco: 8 ou mais é crítico, de 5 a 7 é alto, e qualquer valor menor é médio. O resultado também mostra a rede à qual o endereço pertence, o que importa porque o abuso costuma se concentrar em um intervalo ou operador, e não em um único host. A página de redes abusivas lista os intervalos mais abusivos, e a página de feeds de ameaças mostra as listas ativas de VPN, Tor e alto risco, atualizadas a cada 6 horas. Na API de consulta, o resultado traz is_abuser junto com is_vpn, is_tor e is_datacenter.
O que a pontuação não é
É uma pontuação de reputação, não uma consulta a uma lista de bloqueio DNS de servidores de e-mail, e não deve substituí-la ao diagnosticar a entrega de e-mail para um provedor de destino específico. Ela também não enxerga comportamento que nenhum feed registrou: um host recém-comprometido e sem histórico terá pontuação limpa. E endereços compartilhados ou reatribuídos podem carregar a reputação de um usuário anterior. O CGNAT agrava o problema, já que um único endereço móvel pode atender muitas pessoas sem relação entre si. O ipto não detecta redes de proxies residenciais, então o tráfego roteado por conexões domésticas comuns não será sinalizado por esses feeds.
Lendo a discordância entre feeds
A corroboração é tão útil quando os feeds discordam quanto quando concordam. Se um intervalo aparece em uma lista curada de sequestro, mas ninguém mais menciona hosts individuais dentro dele, a explicação provável é um problema do operador, e não uma máquina de cliente comprometida, e bloquear o intervalo pode ser correto mesmo que nenhum host individual tenha histórico. Se um host aparece em uma lista agregada com contagem baixa e em nenhum outro lugar, pode ser uma infecção de curta duração que já foi limpa. Manter o feed de origem visível junto de cada pontuação, como faz a listagem de redes abusivas, permite que um analista veja por que um veredito foi alcançado em vez de confiar em um número solto.
Agindo com base em uma pontuação
Ajuste a resposta à confiança. Para uma pontuação crítica vinda de um intervalo de datacenter atingindo seu endpoint de login, bloquear ou aplicar um desafio rigoroso é razoável. Para uma pontuação intermediária, acrescente atrito em vez de rejeitar: um CAPTCHA, uma confirmação por e-mail ou um limite de taxa menor. Para ausência de pontuação, não faça nada de especial, mas não a trate como atestado de idoneidade. Registre a pontuação em cada decisão para poder revisar falsos positivos e ajustar os limiares.
Combine a reputação com outros sinais antes de escalar. O verificador de pontuação de fraude reúne reputação de IP, detecção de e-mail descartável, validação de telefone e classificação de User-Agent em uma única pontuação de 0 a 100, mostrando quanto cada sinal contribuiu. Isso mantém o resultado explicável, o que importa quando um cliente legítimo pergunta por que foi desafiado. Para os compromissos relacionados nos feeds gratuitos, veja métodos de detecção de VPN comparados, e consulte a documentação da API para os campos da resposta. Uma chave gratuita permite 1.000 requisições por dia, sem cadastro.