주거용 프록시 탐지가 이토록 어려운 이유
주거용 프록시 탐지는 소유자가 대여한 일반 가정 또는 모바일 인터넷 연결을 경유하는 트래픽을 식별하려는 시도이며, IP 인텔리전스에서 가장 어려운 문제 중 하나입니다. ipto는 주거용 프록시를 탐지하지 않습니다. 플래그는 VPN, Tor, 악용, 데이터센터 주소를 다루며 주거용 프록시는 보통 깨끗한 것으로 반환됩니다. 따라서 IP 데이터만으로 방어를 설계하기 전에 그 이유를 이해해 둘 필요가 있습니다.
주거용 프록시의 작동 방식
데이터센터 프록시는 호스팅 네트워크의 서버에서 실행되므로 주소가 쉽게 귀속시킬 수 있는 호스팅 ASN에 속합니다. 주거용 프록시는 다릅니다. 출구 주소가 소비자용 ISP의 것이며 실제 가정이나 휴대폰에 할당되어 있습니다. 제공업체는 앱, 브라우저 확장 프로그램, 기기에 포함된 소프트웨어를 통해 이러한 연결에 접근하며, 이때 기기 소유자는 (대개 별로 주의를 기울이지 않고) 대역폭 공유에 동의했거나, 동의 없이 기기를 등록시키는 악성코드를 통해 접근합니다. 고객의 트래픽은 제공업체가 선택한 등록된 기기를 거쳐 중계됩니다.
대상 웹사이트에는 요청이 일반적인 소비자 대역에 있는 일반 ISP 소유의 주소에서, 그럴듯한 도시에서 온 것으로 보입니다. 네트워크 수준에서는 프록시 서비스가 아니기 때문에 등록 데이터의 어떤 것도 이를 프록시로 표시하지 않습니다. 가입자가 발생시키지 않은 트래픽을 실어 나르는 정상적인 가입자 회선일 뿐입니다.
목록 기반 탐지가 실패하는 이유
IP 기반 프록시 탐지 대부분은 귀속과 목록으로 작동합니다. 공개된 VPN 및 Tor 출구 목록과, 주소가 호스팅 또는 VPN 네트워크 안에 있음을 보여 주는 ASN 데이터를 사용합니다. 이 방식은 인프라가 집중되어 있고 안정적이므로 데이터센터 프록시에는 효과적입니다. 주거용 네트워크는 그 모든 가정을 무너뜨립니다.
- 안정적인 인프라가 없습니다. 출구 주소가 수천 개의 소비자용 ISP에 퍼져 있어 플래그를 달 만한 소수의 ASN 집합이 없습니다. 그 ASN들을 차단하면 일반 고객을 차단하게 됩니다.
- 끊임없는 순환. 제공업체는 요청이나 세션마다 다른 기기, 즉 다른 주소를 내줄 수 있습니다. 어떤 목록이든 공개되기 전에 이미 낡은 것이 됩니다.
- 공유 주소. 같은 IP가 실제 가족, 많은 사용자가 있는 통신사급 NAT 풀, 프록시 세션을 동시에 처리할 수 있으므로 주소 수준의 판정은 원리상으로도 모호합니다.
- 처음에는 깨끗한 평판. 새로 등록된 기기에는 악용 이력이 없으므로, 나쁘게 사용되기 전까지 평판 피드가 보고할 것이 없습니다.
실질적인 결과는 ipto의 VPN, Tor, 프록시 검사기 같은 조회가 "알려지지 않음"을 반환하면, 그 주소가 알려진 VPN이나 Tor 목록에 없고 호스팅 중심 네트워크에도 없다는 것만 알려 준다는 점입니다. 트래픽이 사람의 것이라는 뜻은 아닙니다.
여전히 도움이 되는 것
IP 자체는 증거를 거의 담고 있지 않으므로 탐지는 행동과 맥락으로 옮겨 갑니다. 이 중 어느 것도 단독으로 결정적이지 않으며, 모두 IP 조회가 아니라 자체 애플리케이션의 데이터가 필요합니다.
- 행동 패턴: 요청 주기, 탐색 순서, 누락된 자산 로드, 동일한 양식 입력 타이밍, 사람과 닮지 않은 세션 길이.
- 클라이언트 일관성: 다른 헤더, 언어 설정, TLS 특성과 어긋나는 파싱된 User-Agent. User-Agent 파서는 선언된 브라우저와 OS가 내부적으로 그럴듯한지 빠르게 확인하는 방법입니다.
- 계정 간 속도: 서로 다르고 개별적으로는 조용한 많은 주소에 걸쳐 분산된 다수의 가입, 로그인, 결제.
- 네트워크 맥락: ASN 조회는 주소가 어느 ISP에 있는지 알려 주며, 트래픽 급증이 제공업체 전반에 비정상적으로 넓게 퍼져 있음을 파악하는 데 도움이 되지만 프록시임을 증명할 수는 없습니다.
- 결합된 위험: 사기 점수 검사기가 제공하는 것처럼 IP, 이메일, 전화번호의 신호를 함께 보면 주소는 괜찮아 보이지만 신원 정보가 그렇지 않은 경우를 잡아냅니다.
공백을 감안한 설계
IP 인텔리전스를 하나의 계층으로 취급하고 그것이 무엇을 다루는지 명확히 하세요. ipto의 IP 조회는 is_vpn, is_tor, is_abuser, is_datacenter를 반환하며 위협 피드는 6시간마다 갱신되는데, 이는 호스팅 네트워크에서 실행되는 원치 않는 자동화의 큰 부분에 유용합니다. 나머지에 대해서는 계정별 및 작업별 속도 제한, 민감한 작업에 대한 단계적 인증 강화, 주소가 아니라 클라이언트를 평가하는 봇 챌린지 흐름에 의존하세요.
IP 주소만으로 주거용 프록시를 확실히 식별할 수 있다고 약속하는 사람을 경계하세요. 주소가 진짜 가입자 회선이기 때문에 정직한 입장은 확률적입니다. 일부 제공업체와 벤더는 트래픽 분석이나 기기 수준 데이터로 프록시 사용을 추론한다고 주장하지만, 공개된 어떤 IP 목록도 이를 확정할 수 없습니다. VPN 목록이 구축되는 방식에 대한 관련 배경은 VPN 탐지의 작동 원리에 있습니다.