IPレピュテーションスコアリング:フィードと裏付け
IPレピュテーションスコアリングとは、複数の脅威インテリジェンスの情報源からの証拠を1つのスコアに統合し、IPアドレスがスパム、スキャン、クレデンシャルスタッフィング、マルウェア配布などの不正に関与している可能性を見積もる手法です。
スコアは要約であり、判定ではありません。何が入力になっているのか、どこが弱いのかを理解することで、妥当なしきい値を設定し、正当な顧客のブロックを避けられます。この記事では、入力、裏付けが重要な理由、スコアを対応に変える方法を順に説明します。
単一のブロックリスト該当が弱いシグナルである理由
ブロックリストは、スパムトラップ、ハニーポット、不正利用の報告、スキャンのテレメトリ、ボットネットの指令サーバーの追跡など、異なる観測から作られています。それぞれに独自の死角があります。スパムトラップのヒットから作られたリストは、ポートスキャンについては何も語りませんし、ハニーポットへの接続から作られたリストには、悪意ある者が短期間使い、のちに無実の顧客に再割り当てされた共有アドレスが含まれていることがあります。
アドレスは再利用もされます。クラウドのインスタンス、モバイルキャリアのゲートウェイ、キャリアグレードNATにより、1つの公開アドレスが数千人のユーザーの窓口となることがあり、その背後にある感染した端末が1台あるだけで、全員にとってそのアドレスが汚染されます。リストの管理者が独自のスケジュールでエントリを失効させるため、駆除の後もリスト入りが続くことがあります。1つのリストにアドレスが含まれているというだけでトラフィックを拒否すれば、本物の人々をブロックしてしまい、その頻度も分かりません。
複数の独立した情報源から作られたスコアが、1つの情報源によるブール値より有用なのは、そのためです。より詳しい議論は、裏付けがブラックリストの精度を高める理由を参照してください。
裏付け、重み付け、新しさ
裏付けとは、異なるものを観測する情報源同士の一致を要求する、または評価することです。アドレスが既知のスキャナーのフィードにも、報告された不正利用元のフィードにも現れる場合、2つの失敗パターンが重なる可能性は低いため、統合された証拠はどちらか一方よりも強くなります。優れたスコアリングシステムは、それを3つの方法で反映します。
- 情報源の多様性。同じ上流データから派生した2つのリストは、1つの意見が2回数えられているだけです。独立した情報源のほうが重みを持ちます。
- 深刻度。活発な攻撃によるリスト入りは、一般的な匿名化サービスであることによるものより重く扱われます。証拠の種類が異なれば、リスクのカテゴリも異なります。
- 新しさ。証拠は古くなります。数時間ごとに更新されるフィードは、静的なファイルよりも現在をよく反映しており、優れた方針では古い観測が薄れていきます。
スコアは通常、low、medium、high、criticalといった階層に区分されます。生の数値よりも、対応に自然に結び付けられるからです。数値のスケールは1つのシステムの中でのみ意味を持つため、自社のデータで較正することなく、あるプロバイダーのスコアを別のプロバイダーのスコアと比較してはいけません。
ipto が提供するもの
ipto の不正利用チェッカーは、アドレスが脅威インテリジェンスの情報源全体でどう見られているかを報告し、それを不正利用スコアとリスク階層にまとめます。これは単一のリストではなく、複数のフィードにわたる裏付けに基づいています。同じシグナルは、IP検索では is_abuser フラグとして、is_vpn、is_tor、is_datacenter と並んで表示されます。脅威フィードは6時間ごとに、IPとASNのデータセットは毎日更新されます。IP不正利用チェッカーは任意のアドレスで試せ、基になっているライブの脅威フィードも閲覧でき、どのネットワークのスコアが最も悪いかは不正ネットワークのページで確認できます。
2つの制限を述べておきます。1つ目は、ipto は住宅用プロキシを検出しないため、一般消費者のデバイスを経由するトラフィックにはプロキシのフラグが付かないことです。2つ目は、レピュテーションスコアはアドレスを表すものであり、それを使っている人物を表すものではないことです。スコアがクリーンであっても、訪問者が信頼できるとは限りません。不正スコアチェッカーが、IPのシグナルをメール、電話番号、User-Agentの証拠と組み合わせて、内訳が見える0〜100の1つのスコアにしているのは、そのためです。
スコアを判断に変える
もっとも一般的な間違いは、レピュテーションを許可・拒否のスイッチとして扱うことです。より優れた方針は、段階的な対応を持ちます。
- 低リスク:通常どおり許可します。
- リスクが高め:チャレンジ、メール認証、より低いレート制限など、正直なユーザーのコストが小さい摩擦を加えます。
- 高リスクまたはcritical:支払いやアカウント作成といった機微な操作ではブロックしますが、閲覧のみは許可することを検討します。
スコアは文脈と組み合わせてください。ホスティングプロバイダーのネットワークにあるフラグ付きアドレス(所有者はASN検索で確認できます)は、住宅向けISPの範囲にあるフラグ付きアドレスとは振る舞いが異なります。後者では、感染した端末が1台あるか、共有ゲートウェイであるという説明のほうが可能性が高くなります。ブロックしたリクエストごとにスコアと判断をログに残し、定期的にサンプルを見直して誤検知を確認し、チャージバックやサポートへの苦情といった実際の結果を使って、直感ではなくそれに基づいてしきい値を調整してください。
最後に、正当なユーザーに逃げ道を用意してください。ブロックされた登録のために連絡手段や手動レビューのオプションを設ければ、誤検知は失われた顧客ではなく、回復できる出来事になります。