Réduire les faux positifs de détection VPN : guide pratique
Les faux positifs de détection VPN surviennent lorsqu'une adresse IP est signalée comme VPN, proxy ou anonymiseur alors que la personne derrière est un utilisateur ordinaire ; les causes les plus courantes sont les adresses partagées, les points de sortie hébergés dans le cloud et des données de listes obsolètes. Les réduire revient surtout à comprendre ce que signifie réellement un indicateur et à décider ce que votre application en fait.
Pourquoi du trafic légitime est signalé
La détection de VPN est une inférence, pas une observation. Un service ne voit qu'une adresse source, et il doit deviner à partir de celle-ci à quel type de réseau elle appartient. Deux grandes techniques sont à l'œuvre : comparer l'adresse à des listes publiées de VPN et de nœuds de sortie Tor connus, et regarder qui exploite le réseau dans lequel se trouve l'adresse. Les deux peuvent se tromper de manière prévisible.
La première source d'erreur est le partage d'adresses. Le NAT de niveau opérateur permet à un FAI de placer des milliers d'abonnés derrière un petit ensemble d'adresses publiques, et de nombreuses entreprises, universités et hôtels font de même avec un NAT ordinaire. De l'extérieur, une adresse produit un grand volume de sessions sans rapport émanant de nombreuses personnes, ce qui ressemble exactement à une sortie de VPN commercial lorsque l'on ne dispose que de journaux de requêtes. Les heuristiques comportementales qui se déclenchent sur le volume ou sur le nombre de comptes distincts par adresse se tromperont donc sur des réseaux parfaitement normaux.
La deuxième source est l'hébergement. Les utilisateurs en entreprise accèdent fréquemment à internet via une passerelle web sécurisée, un proxy cloud ou un service zero-trust dont les adresses de sortie se trouvent dans un réseau de datacenter. Les télétravailleurs sur un VPN d'entreprise, ce qui est un montage légitime et courant, semblent provenir de ce datacenter. Une règle qui traite toute adresse de datacenter comme suspecte attrapera ces personnes en même temps que les fraudeurs. La troisième source est le temps : un fournisseur de VPN abandonne une adresse, un autre locataire en hérite, et une liste qui n'a pas été actualisée continue d'indiquer l'ancien statut.
Lire le réseau, pas seulement l'indicateur
Un booléen est la partie la moins informative d'une recherche. La recherche IP d'ipto renvoie is_vpn, is_tor, is_abuser, is_datacenter et les champs bogon et bogon_type, avec l'ASN et l'organisation qui exploitent l'adresse. Ces champs sont faits pour être lus ensemble. Une adresse avec is_datacenter à true et is_vpn à false appartient à un réseau d'hébergement mais n'a pas correspondu à une source VPN connue ; c'est une situation différente d'une correspondance avec une liste de sorties publiée, et votre politique peut les traiter différemment.
Le vérificateur de VPN, Tor et proxy montre les mêmes éléments pour une adresse isolée, y compris le réseau et la source qui a produit la correspondance, ce qui est utile lorsque vous enquêtez sur la plainte d'un utilisateur qui affirme avoir été bloqué à tort. Du côté de la propriété, une recherche ASN vous indique si l'opérateur est un FAI résidentiel, un opérateur mobile, une université ou un fournisseur de cloud. Si votre adresse signalée correspond à un FAI grand public, un verdict VPN mérite plus de scepticisme que le même verdict sur un hébergeur.
Pour le contexte sur la façon dont les signaux de listes et d'ASN sont combinés, l'article sur le fonctionnement de la détection de VPN détaille les mécanismes.
Concevoir des politiques qui tolèrent les erreurs
La plus forte réduction des faux positifs vient généralement d'un changement de ce que déclenche un résultat positif, plutôt que d'un réglage du détecteur. Utiliser un VPN est légal et ordinaire ; beaucoup de gens en utilisent un sur un Wi-Fi public ou pour le travail. Bloquer d'office sur le seul indicateur VPN pénalisera toujours certains utilisateurs légitimes ; réservez donc le blocage aux situations où le risque est concret, comme un paiement depuis un nouveau compte, et recourez à des réponses plus souples ailleurs.
- Renforcez plutôt que de bloquer. Demandez une étape de vérification supplémentaire, ajoutez un CAPTCHA ou retardez une action de grande valeur plutôt que de refuser purement et simplement la requête.
- Combinez des signaux indépendants. Un indicateur VPN, plus un domaine d'e-mail jetable, plus une région de téléphone incohérente en disent plus que n'importe lequel d'entre eux seul. Le vérificateur de score de fraude combine les signaux d'IP, d'e-mail, de téléphone et de User-Agent en un seul score de 0 à 100 dans ce but.
- Mettez en liste d'autorisation ce que vous connaissez. Si votre propre bureau, un partenaire ou la passerelle connue d'un client est signalé, enregistrez la plage et exemptez-la. Révisez la liste périodiquement, car les adresses sont réattribuées.
- Consignez la raison. Enregistrez quel champ a déclenché la décision pour que le support puisse l'expliquer et que vous puissiez mesurer à quelle fréquence un indicateur a été infirmé.
- Revérifiez selon un calendrier. Les flux de menaces d'ipto sont actualisés toutes les 6 heures et les jeux de données IP et ASN chaque jour : un verdict en cache plus ancien peut donc déjà être périmé.
Connaître les limites de tout détecteur
Aucune liste n'est complète : un résultat négatif signifie donc « non connu », jamais « certainement pas un VPN ». ipto ne détecte pas les proxys résidentiels, qui font passer le trafic par de simples connexions domestiques et sont, par conception, difficiles à distinguer des vrais utilisateurs. Mesurer votre propre taux de faux positifs est donc important : échantillonnez les sessions signalées, vérifiez combien se sont révélées être de vrais clients et ajustez l'action associée à chaque signal. La page des flux de menaces montre les listes VPN, Tor et à haut risque elles-mêmes, ce qui aide lorsque vous voulez confirmer si une adresse figure réellement sur une liste publiée ou a été signalée pour une autre raison.
Vous pouvez tout essayer sans vous inscrire : l'offre gratuite autorise 1 000 requêtes par jour, et la documentation de l'API énumère le point de terminaison de recherche et les champs de la réponse.