Pontuação de reputação de IP: feeds e corroboração
A pontuação de reputação de IP é a prática de combinar evidências de várias fontes de inteligência de ameaças em uma única nota que estima a probabilidade de um endereço IP estar envolvido em abusos como spam, varredura, credential stuffing ou distribuição de malware.
A nota é um resumo, não um veredito. Entender o que entra nela, e onde ela é fraca, é o que permite definir limiares sensatos e evitar o bloqueio de clientes legítimos. Este artigo percorre as entradas, explica por que a corroboração importa e mostra como transformar uma nota em ação.
Por que uma única ocorrência em lista de bloqueio é um sinal fraco
As listas de bloqueio são construídas a partir de observações diferentes: spam traps, honeypots, denúncias de abuso, telemetria de varredura, rastreamento de comando e controle de botnets. Cada uma tem seus próprios pontos cegos. Uma lista construída a partir de acertos em spam traps não diz nada sobre varredura de portas, e uma lista construída a partir de conexões em honeypots pode incluir endereços compartilhados que foram usados por pouco tempo por um agente malicioso e depois reatribuídos a um cliente inocente.
Os endereços também são reciclados. Instâncias de nuvem, gateways de operadoras móveis e CGNAT significam que um único endereço público pode servir milhares de usuários, e um dispositivo infectado atrás dele pode contaminar o endereço para todos. As listagens podem persistir após a limpeza porque os mantenedores das listas expiram as entradas no próprio ritmo. Se você rejeita tráfego apenas porque uma lista contém o endereço, vai bloquear pessoas reais sem saber com que frequência.
É por isso que uma nota construída a partir de várias fontes independentes é mais útil que um booleano de uma só. Veja por que a corroboração melhora a precisão das listas negras para o argumento completo.
Corroboração, ponderação e atualidade
Corroboração significa exigir ou recompensar a concordância entre fontes que observam coisas diferentes. Se um endereço aparece em um feed de scanners conhecidos e também em um feed de origens abusivas denunciadas, a evidência combinada é mais forte do que qualquer uma isoladamente, pois é improvável que os modos de falha das duas coincidam. Bons sistemas de pontuação refletem isso de três formas.
- Diversidade de fontes. Duas listas derivadas dos mesmos dados de origem são uma opinião contada duas vezes. Fontes independentes valem mais.
- Gravidade. Uma listagem por ataques ativos tem peso maior do que uma por ser um serviço genérico de anonimização. Diferentes tipos de evidência pertencem a diferentes categorias de risco.
- Atualidade. A evidência envelhece. Um feed atualizado a cada poucas horas reflete melhor o presente do que um arquivo estático, e uma boa política deixa as observações antigas perderem peso.
As notas costumam ser agrupadas em níveis como baixo, médio, alto e crítico, que se traduzem em ações de forma mais natural do que um número bruto. A escala numérica só tem significado dentro de um sistema, então nunca compare a nota de um provedor com a de outro sem calibrar com seus próprios dados.
O que o ipto expõe
O verificador de abuso do ipto informa como um endereço é visto em fontes de inteligência de ameaças e condensa isso em uma pontuação de abuso e um nível de risco, com base na corroboração entre vários feeds e não em uma única lista. O mesmo sinal aparece na consulta de IP como o sinalizador is_abuser, ao lado de is_vpn, is_tor e is_datacenter. Os feeds de ameaças são atualizados a cada 6 horas, e os conjuntos de dados de IP e ASN, diariamente. Você pode experimentar o verificador de abuso de IP com qualquer endereço, navegar pelos feeds de ameaças ativos subjacentes ou ver quais redes têm as piores notas na página de redes abusivas.
Dois limites merecem ser declarados. Primeiro, o ipto não detecta proxies residenciais, então o tráfego roteado por dispositivos de consumidores não carregará um sinalizador de proxy. Segundo, uma pontuação de reputação descreve um endereço, não a pessoa que o usa. Uma nota limpa não significa que um visitante é confiável, e é por isso que o verificador de pontuação de fraude combina o sinal de IP com evidências de e-mail, telefone e User-Agent em uma única nota de 0 a 100, com detalhamento visível.
Transformando uma nota em decisão
O erro mais comum é tratar a reputação como uma chave de bloquear/permitir. Uma política melhor tem respostas graduais:
- Risco baixo: permitir normalmente.
- Risco elevado: acrescentar atrito que custe pouco a usuários honestos, como um desafio, verificação por e-mail ou um limite de taxa menor.
- Risco alto ou crítico: bloquear em ações sensíveis, como pagamento ou criação de conta, mas considerar permitir a navegação somente leitura.
Associe a nota ao contexto. Um endereço sinalizado que está na rede de um provedor de hospedagem (confira o proprietário com a consulta de ASN) se comporta de modo diferente de um endereço sinalizado em uma faixa de ISP residencial, onde a explicação mais provável é um único dispositivo infectado ou um gateway compartilhado. Registre a nota e sua decisão para cada requisição bloqueada, revise regularmente uma amostra em busca de falsos positivos e ajuste os limiares usando resultados reais, como chargebacks e reclamações ao suporte, em vez de intuição.
Por fim, dê aos usuários legítimos uma saída. Um canal de contato ou uma opção de revisão manual para cadastros bloqueados transforma um falso positivo de um cliente perdido em um evento recuperável.