住宅用プロキシの検出が難しい理由
住宅用プロキシの検出とは、所有者が貸し出している一般の家庭用またはモバイルのインターネット接続を経由するトラフィックを特定しようとする試みで、IPインテリジェンスで最も難しい問題の一つです。ipto は住宅用プロキシを検出しません。フラグが対象とするのはVPN、Tor、不正利用、データセンターのアドレスであり、住宅用プロキシは通常クリーンな結果になります。IPデータだけで防御を設計する前に、その理由を理解しておく価値があります。
住宅用プロキシの仕組み
データセンターのプロキシは、ホスティングネットワーク内のサーバー上で動作するため、そのアドレスは容易に特定できるホスティングのASNに属します。住宅用プロキシは異なります。出口のアドレスは一般消費者向けISPのもので、実在の世帯や携帯電話に割り当てられています。プロバイダーは、アプリ、ブラウザ拡張機能、デバイスに同梱されたソフトウェアを通じて、これらの接続にアクセスします。そこでは、デバイスの所有者が(多くはあまり注意を払わないまま)帯域の共有に同意しているか、同意なしにデバイスを組み込むマルウェアが使われています。顧客からのトラフィックは、プロバイダーが選んだ組み込み済みデバイスのいずれかを経由して中継されます。
対象のウェブサイトから見ると、リクエストは通常のISPが所有するアドレスから、通常の一般消費者向けの範囲で、もっともらしい都市からやって来ます。ネットワークレベルではプロキシサービスではないため、登録データにはプロキシであることを示すものが何もありません。それは正当な契約者の回線であり、契約者が発信したのではないトラフィックを運んでいるだけです。
リストベースの検出が失敗する理由
IPベースのプロキシ検出の多くは、帰属とリストによって機能します。公開されているVPNとTorの出口リストと、アドレスがホスティングまたはVPNネットワーク内にあることを示すASNデータです。この手法はデータセンターのプロキシには有効です。インフラが集中していて安定しているためです。住宅用ネットワークは、それぞれの前提を崩します。
- 安定したインフラがない。出口アドレスは数千の一般消費者向けISPに分散しているため、フラグを立てられる少数のASNは存在しません。それらのASNをブロックすれば、一般の顧客をブロックすることになります。
- 絶え間ないローテーション。プロバイダーは、リクエストやセッションごとに別のデバイス、したがって別のアドレスを割り当てられます。どのリストも、公開される前に古くなっています。
- 共有アドレス。同じIPが、実在の家族、多数のユーザーがいるキャリアグレードNATのプール、プロキシセッションを同時に担うことがあり、アドレス単位の判定は原理的にも曖昧です。
- 最初はクリーンな評判。新たに組み込まれたデバイスには不正利用の履歴がないため、悪用されるまでは、レピュテーションフィードが報告するものがありません。
実際には、ipto のVPN・Tor・プロキシチェッカーのような検索が「未知」を返したとしても、わかるのは、そのアドレスが既知のVPNやTorのリストになく、ホスティング系のネットワークにもないということだけです。トラフィックが人間であるとは教えてくれません。
それでも役立つこと
IPそのものが持つ証拠が少ないため、検出は行動と文脈に移ります。これらのどれも単独では決定的ではなく、いずれもIP検索ではなく、自社のアプリケーションのデータを必要とします。
- 行動パターン:リクエストの間隔、遷移の順序、アセットの読み込み漏れ、同一のフォーム入力のタイミング、人間らしくないセッション長。
- クライアントの一貫性:解析したUser-Agentが、他のヘッダー、言語設定、TLSの特性と食い違っていること。User-Agentパーサーは、申告されたブラウザとOSが内部的にもっともらしいかを確認する手軽な方法です。
- アカウント間の速度:個々には目立たない多数の異なるアドレスに分散した、大量の登録、ログイン、チェックアウト。
- ネットワークの文脈:ASN検索はアドレスがどのISPにあるかを示すので、トラフィックの急増が、プロバイダー間で異常に広く分散していることは分かりますが、プロキシであることを証明することはできません。
- 複合的なリスク:不正スコアチェッカーのように、IP、メール、電話番号のシグナルを併せて見れば、アドレスは問題なさそうでも、身元の詳細がおかしいケースを捉えられます。
この隙間を前提に設計する
IPインテリジェンスは1つの層として扱い、それが何をカバーするのかを明確にしてください。ipto のIP検索は is_vpn、is_tor、is_abuser、is_datacenter を返し、脅威フィードは6時間ごとに更新されます。これは、ホスティングネットワークから動く不要な自動化の大部分に有効です。それ以外については、アカウント単位・操作単位のレート制限、機微な操作に対するステップアップ認証、アドレスではなくクライアントを評価するボットチャレンジのフローに頼ってください。
IPアドレスだけで住宅用プロキシを確実に特定できると約束する者には警戒してください。アドレスは本物の契約者の回線であるため、誠実な立場は確率的なものになります。トラフィック分析やデバイスレベルのデータからプロキシの利用を推測できると主張するプロバイダーやベンダーもありますが、公開されているIPリストでそれを立証することはできません。VPNのリストがどのように作られるかに関する背景は、VPN検出の仕組みにあります。