VPN 탐지 오탐 줄이기: 실용 가이드
VPN 탐지 오탐은 IP 주소 뒤의 사람이 평범한 사용자인데도 해당 주소가 VPN, 프록시, 익명화 서비스로 표시될 때 발생하며, 가장 흔한 원인은 공유 주소, 클라우드에 호스팅된 출구 지점, 오래된 목록 데이터입니다. 오탐을 줄이는 일은 대부분 플래그가 실제로 무엇을 의미하는지 이해하고, 애플리케이션이 그것으로 무엇을 할지 정하는 문제입니다.
정상 트래픽이 표시되는 이유
VPN 탐지는 관측이 아니라 추론입니다. 서비스는 출발지 주소만 볼 수 있으며, 그 주소가 어떤 종류의 네트워크에 속하는지를 주소에서 추측해야 합니다. 크게 두 가지 기법이 쓰입니다. 주소를 알려진 VPN 및 Tor 출구 노드의 공개 목록과 대조하는 방법과, 주소가 속한 네트워크를 누가 운영하는지 살펴보는 방법입니다. 둘 다 예측 가능한 방식으로 틀릴 수 있습니다.
첫 번째 오류 원인은 주소 공유입니다. 통신사급 NAT는 ISP가 수천 명의 가입자를 소수의 공인 주소 풀 뒤에 두게 하며, 많은 기업, 대학, 호텔도 일반 NAT로 같은 일을 합니다. 외부에서 보면 하나의 주소가 서로 관련 없는 많은 사람의 대량의 세션을 만들어 내는데, 요청 로그만 있을 때 상용 VPN 출구가 보이는 모습이 바로 그것입니다. 따라서 주소당 트래픽 양이나 서로 다른 계정 수에 반응하는 행동 휴리스틱은 완전히 정상적인 네트워크에서 오작동합니다.
두 번째 원인은 호스팅입니다. 기업 사용자는 흔히 보안 웹 게이트웨이, 클라우드 프록시, 또는 출구 주소가 데이터센터 네트워크 안에 있는 제로 트러스트 서비스를 통해 인터넷에 접속합니다. 합법적이고 흔한 방식인 회사 VPN을 쓰는 원격 근무자는 그 데이터센터에서 오는 것처럼 보입니다. 모든 데이터센터 주소를 의심스럽게 취급하는 규칙은 악용자와 함께 이런 사람들도 걸러 냅니다. 세 번째 원인은 시간입니다. VPN 제공자가 주소를 반납하고 다른 임차인이 이를 물려받아도, 갱신되지 않은 목록은 이전 상태를 계속 보고합니다.
플래그만이 아니라 네트워크를 읽으십시오
불리언은 조회에서 가장 정보량이 적은 부분입니다. ipto의 IP 조회는 주소를 운영하는 ASN 및 조직과 함께 is_vpn, is_tor, is_abuser, is_datacenter, 그리고 bogon과 bogon_type 필드를 반환합니다. 이 필드들은 함께 읽도록 만들어졌습니다. is_datacenter가 true이고 is_vpn이 false인 주소는 호스팅 네트워크에 속하지만 알려진 VPN 출처와는 일치하지 않은 것입니다. 이는 공개된 출구 목록과 일치한 경우와는 다른 상황이며, 정책에서도 둘을 다르게 취급할 수 있습니다.
VPN, Tor 및 프록시 검사기는 단일 주소에 대해 네트워크와 일치를 만든 출처를 포함한 동일한 증거를 보여 주며, 부당하게 차단되었다고 주장하는 사용자의 특정 불만을 조사할 때 유용합니다. 소유 측면에서는 ASN 조회가 운영자가 가정용 ISP, 이동통신사, 대학, 클라우드 제공자 중 무엇인지 알려 줍니다. 표시된 주소가 소비자용 ISP로 확인된다면, 같은 VPN 판정이라도 호스팅 제공자일 때보다 더 회의적으로 봐야 합니다.
목록과 ASN 신호가 어떻게 결합되는지에 대한 배경은 VPN 탐지의 작동 원리 글이 그 메커니즘을 설명합니다.
실수를 견디는 정책 설계
오탐의 가장 큰 감소는 대개 탐지기를 조정하는 데서가 아니라, 양성 결과가 무엇을 촉발하는지를 바꾸는 데서 나옵니다. VPN 사용은 합법적이고 평범하며, 많은 사람이 공용 Wi-Fi에서나 업무용으로 VPN을 사용합니다. VPN 플래그만으로 강하게 차단하면 언제나 일부 정당한 사용자를 벌하게 되므로, 차단은 신규 계정의 결제처럼 위험이 구체적인 상황에 한정하고 그 밖에는 더 부드러운 대응을 사용하십시오.
- 차단하는 대신 단계를 높이십시오. 요청을 아예 거부하지 말고 추가 인증 단계를 요구하거나, CAPTCHA를 추가하거나, 고액 작업을 지연시키십시오.
- 독립적인 신호를 결합하십시오. VPN 플래그에 일회용 이메일 도메인과 일치하지 않는 전화번호 지역이 더해지면 각각 하나일 때보다 더 큰 의미를 가집니다. 사기 점수 검사기는 이런 목적으로 IP, 이메일, 전화번호, User-Agent 신호를 0-100의 단일 점수로 결합합니다.
- 알고 있는 것은 허용 목록에 넣으십시오. 자사 사무실, 파트너, 또는 고객의 알려진 게이트웨이가 표시된다면 해당 범위를 기록하고 예외로 두십시오. 주소는 재할당되므로 목록을 주기적으로 검토하십시오.
- 사유를 기록하십시오. 어떤 필드가 결정을 촉발했는지 저장해 두면 지원팀이 이를 설명할 수 있고, 플래그가 번복된 빈도를 측정할 수 있습니다.
- 일정에 따라 다시 확인하십시오. ipto의 위협 피드는 6시간마다, IP 및 ASN 데이터셋은 매일 갱신되므로 그보다 오래된 캐시된 판정은 이미 낡았을 수 있습니다.
모든 탐지기의 한계를 알아 두십시오
완전한 목록은 없으므로 음성 결과는 "알려지지 않음"을 의미할 뿐 "확실히 VPN이 아님"을 의미하지 않습니다. ipto는 일반 가정 회선으로 트래픽을 라우팅하며 설계상 실제 사용자와 구분하기 어려운 레지덴셜 프록시를 탐지하지 않습니다. 따라서 자신의 오탐률을 측정하는 것이 중요합니다. 표시된 세션을 표본 추출하여 그중 몇 건이 정당한 고객으로 밝혀졌는지 확인하고, 각 신호에 연결하는 조치를 조정하십시오. 위협 피드 페이지는 VPN, Tor, 고위험 목록 자체를 보여 주므로, 주소가 실제로 공개 목록에 있는지 아니면 다른 이유로 표시되었는지 확인하고 싶을 때 도움이 됩니다.
이 모든 것을 가입하지 않고 시험해 볼 수 있습니다. 무료 등급은 하루 1,000건의 요청을 허용하며, API 문서에 조회 엔드포인트와 응답 필드가 나와 있습니다.