Banco de Dados de Nós de Saída VPN & Tor

Abrange a infraestrutura de IP por trás de serviços comerciais de VPN, relays Tor e IPs individuais de alto abuso detectados por múltiplos sinais de ameaça independentes. A atribuição do provedor de VPN é derivada de dados de propriedade de ASN — quando uma faixa de rede é registrada diretamente a um operador de VPN conhecido, o provedor é identificado. Faixas hospedadas em infraestrutura compartilhada (M247, Datacamp, Clouvider) mostram apenas o nome do ISP, já que dezenas de serviços de VPN coexistem nesses ASNs e a atribuição a um único provedor seria enganosa.

Cada entrada neste banco de dados origina-se de um dos quatro pipelines de classificação. Entradas de múltiplos pipelines são desduplicadas por prioridade de origem: nós de saída Tor têm precedência sobre faixas de VPN, que têm precedência sobre inteligência de ameaças geral. O resultado é uma única classificação canônica por IP, não linhas duplicadas entre categorias.

Definições de colunas

IP / CIDR

Faixa de rede ou IP individual. Notação CIDR como 185.220.101.0/24 significa que toda a sub-rede /24 é infraestrutura confirmada de VPN ou Tor — não um único host sinalizado dentro dela.

Provedor

O serviço de VPN vinculado a esta faixa via propriedade de ASN. Preenchido apenas quando o ASN é registrado exclusivamente a um operador de VPN. ASNs de hospedagem compartilhada deixam isso em branco; a coluna ISP mostra o operador de rede real.

ISP

O sistema autônomo (AS) que anuncia este bloco de IP via BGP. Para ASNs próprios do provedor, isso coincide com o provedor. Para infraestrutura alugada, mostra a empresa de hospedagem (ex.: M247, Zenlayer, Serverius).

País

O país onde este bloco está registrado ou roteado. Para nós VPN e Tor, esta é a localização do servidor, não do usuário por trás dele. Operadores escolhem jurisdições deliberadamente por razões legais e de roteamento.

Classificação

VPN — faixa de saída VPN comercial confirmada. Nó de Saída Tor — encaminha o tráfego do circuito Tor para a internet pública; conexões originadas aqui já deixaram a rede de anonimato. Relay Tor — apenas um salto interno da rede; não inicia conexões externas. Inteligência de Ameaças — IP individual corroborado por 3 ou mais blocklists independentes.

Como funciona a classificação

O pipeline executa quatro feeds simultâneos e depois mescla os resultados em uma única entrada canônica por IP. Quando um IP aparece em várias categorias, a prioridade de classificação é: Saída Tor > Faixa VPN > Inteligência de Ameaças > Relay Tor. Isso evita contagem duplicada e garante que a etiqueta mais relevante para segurança prevaleça.

Entradas de Inteligência de Ameaças exigem corroboração entre feeds: apenas IPs sinalizados por 3 ou mais blocklists independentes são incluídos. Sinalizações de fonte única são excluídas para reduzir falsos positivos de feeds desatualizados ou de baixa qualidade.

Casos de uso

Controle de acesso

Bloqueie ou sinalize cadastros, logins e compras originados de nós de saída VPN e Tor. Reduz estornos, preenchimento de credenciais e fraude de contas onde a identidade real importa.

Higiene de análise

Filtre tráfego VPN e Tor dos pipelines de análise de produto. Um único usuário avançado alternando nós de saída VPN pode inflar contagens de sessão e distorcer significativamente os funis de conversão.

Pontuação de fraude

Alimenta um sinal de risco composto junto com verificações de velocidade, impressão digital de dispositivo e padrões comportamentais. Uma detecção de VPN isolada não é fraude — combinada com outros sinais, muda materialmente a probabilidade.

Operações de segurança

Enriquece eventos SIEM e logs de WAF. Uma conexão de entrada vinda de um nó de saída Tor ou de um IP conhecido de Inteligência de Ameaças justifica escrutínio elevado independentemente da carga útil.

Provedores de VPN com atribuição direta de ASN (19 identificados)

A atribuição é feita com melhor esforço. Provedores que alugam espaço de IP de empresas de hospedagem compartilhada aparecem sob o ISP de hospedagem. Cobertura total de VPN requer enumeração ativa de servidores, o que vai além do que os dados de BGP/ASN sozinhos suportam. A lista acima representa apenas mapeamentos confirmados de operador para ASN.

Fontes de inteligência

Faixas de VPN

Lista CIDR derivada de BGP de faixas conhecidas de servidores VPN, construída a partir de análise de roteamento e enumeração ativa de servidores. Atualizada continuamente pela comunidade.

Nós de saída Tor

Lista oficial em massa de nós de saída do Tor Project — o registro autoritativo de IPs que podem originar tráfego de saída Tor a qualquer momento.

Nós de relay Tor

Registro completo de relays Tor, incluindo impressão digital do relay, endereço IP e porta OR. Cobre relays internos da rede que não aparecem na lista de saída.

Inteligência de ameaças

Agregador de blacklist de múltiplas fontes. Cada feed contribuinte roda de forma independente; um IP que sobrevive ao limite de 3 feeds foi confirmado como hostil por várias organizações sem coordenação entre elas.