Reducir falsos positivos en la detección de VPN: guía práctica
Los falsos positivos de la detección de VPN se producen cuando una dirección IP se marca como VPN, proxy o anonimizador aunque la persona que hay detrás sea un usuario corriente, y las causas más habituales son las direcciones compartidas, los puntos de salida alojados en la nube y los datos de listas obsoletos. Reducirlos es en gran medida cuestión de entender qué significa realmente un indicador y de decidir qué hace tu aplicación con él.
Por qué se marca el tráfico legítimo
La detección de VPN es una inferencia, no una observación. Un servicio solo ve una dirección de origen y, a partir de ella, tiene que adivinar a qué tipo de red pertenece. Entran en juego dos técnicas generales: comparar la dirección con listas publicadas de nodos de salida de VPN y Tor conocidos, y observar quién opera la red en la que se encuentra la dirección. Ambas pueden equivocarse de formas predecibles.
La primera fuente de error es la compartición de direcciones. El CGNAT permite a un ISP colocar a miles de abonados detrás de un pequeño conjunto de direcciones públicas, y muchas empresas, universidades y hoteles hacen lo mismo con un NAT corriente. Desde fuera, una dirección produce un gran volumen de sesiones no relacionadas de muchas personas, que es exactamente el aspecto de una salida de VPN comercial cuando solo se tienen registros de peticiones. Las heurísticas de comportamiento que se activan por volumen o por muchas cuentas distintas por dirección fallarán, por tanto, en redes perfectamente normales.
La segunda fuente es el alojamiento. Los usuarios corporativos suelen llegar a internet a través de una pasarela web segura, un proxy en la nube o un servicio de confianza cero cuyas direcciones de salida residen dentro de una red de centro de datos. Los trabajadores remotos en una VPN de empresa, un arreglo legítimo y habitual, parecen venir de ese centro de datos. Una regla que trate toda dirección de centro de datos como sospechosa atrapará a esas personas junto con los abusadores. La tercera fuente es el tiempo: un proveedor de VPN abandona una dirección, otro inquilino la hereda, y una lista que no se ha actualizado sigue informando del estado antiguo.
Lee la red, no solo el indicador
Un booleano es la parte menos informativa de una consulta. La consulta de IP de ipto devuelve is_vpn, is_tor, is_abuser, is_datacenter y los campos bogon y bogon_type, junto con el ASN y la organización que operan la dirección. Estos campos están pensados para leerse juntos. Una dirección con is_datacenter verdadero e is_vpn falso pertenece a una red de alojamiento pero no coincidió con ninguna fuente de VPN conocida; es una situación distinta de una coincidencia con una lista de salidas publicada, y tu política puede tratarlas de forma diferente.
El verificador de VPN, Tor y proxies muestra la misma evidencia para una dirección concreta, incluida la red y qué fuente produjo la coincidencia, lo cual es útil cuando investigas la queja concreta de un usuario que dice haber sido bloqueado injustamente. Para el aspecto de la titularidad, una consulta de ASN te dice si el operador es un ISP residencial, un operador móvil, una universidad o un proveedor de nube. Si tu dirección marcada se resuelve a un ISP de consumo, un veredicto de VPN merece más escepticismo que el mismo veredicto sobre un proveedor de alojamiento.
Para conocer el contexto de cómo se combinan las señales de listas y de ASN, el artículo sobre cómo funciona la detección de VPN repasa la mecánica.
Diseña políticas que toleren errores
La mayor reducción de falsos positivos suele venir de cambiar lo que desencadena un resultado positivo, no de ajustar el detector. Usar una VPN es legal y corriente; muchas personas la usan en una red Wi-Fi pública o para trabajar. Bloquear de forma tajante solo por un indicador de VPN castigará siempre a algunos usuarios legítimos, así que reserva el bloqueo para situaciones en las que el riesgo sea concreto, como un pago desde una cuenta nueva, y usa respuestas más suaves en el resto.
- Escala en lugar de bloquear. Pide un paso de verificación adicional, añade un CAPTCHA o retrasa una acción de alto valor en lugar de rechazar la petición sin más.
- Combina señales independientes. Un indicador de VPN más un dominio de correo desechable más una región de teléfono que no coincide significa más que cualquiera de ellos por separado. El verificador de puntuación de fraude combina señales de IP, correo electrónico, teléfono y User-Agent en una única puntuación de 0 a 100 con este fin.
- Incluye en una lista de permitidos lo que conoces. Si tu propia oficina, un socio o la pasarela conocida de un cliente aparece marcada, registra el rango y exímelo. Revisa la lista periódicamente, porque las direcciones se reasignan.
- Registra el motivo. Guarda qué campo desencadenó la decisión para que soporte pueda explicarla y puedas medir con qué frecuencia se revocó un indicador.
- Vuelve a comprobar de forma programada. Las fuentes de amenazas de ipto se actualizan cada 6 horas y los conjuntos de datos de IP y ASN se actualizan a diario, de modo que un veredicto en caché más antiguo que eso puede estar ya desactualizado.
Conoce los límites de cualquier detector
Ninguna lista está completa, así que un resultado negativo significa «no conocido», nunca «definitivamente no es una VPN». ipto no detecta proxies residenciales, que enrutan el tráfico a través de conexiones domésticas corrientes y son, por diseño, difíciles de distinguir de los usuarios reales. Por eso es importante medir tu propia tasa de falsos positivos: toma una muestra de sesiones marcadas, comprueba cuántas resultaron ser clientes legítimos y ajusta la acción que asocias a cada señal. La página de fuentes de amenazas muestra las propias listas de VPN, Tor y alto riesgo, lo que ayuda cuando quieres confirmar si una dirección figura realmente en una lista publicada o fue marcada por otro motivo.
Puedes probar todo esto sin registrarte: el nivel gratuito permite 1000 peticiones al día, y la documentación de la API enumera el endpoint de consulta y los campos de respuesta.