Проверка репутации IP

Проверка репутации IP

«Это прокси?», «это VPN?», «почему мой IP пометили?» — на эти вопросы отвечает этот инструмент, используя сигналы, которые наш сервис уже вычисляет при каждом запросе: совпадает ли адрес с известной сетью VPN/прокси или анонимизирующего прокси, является ли он выходным узлом Tor, относится ли к хостинг/дата-центр пространству, числится ли в фиде threat intelligence как вредоносный, замечен ли недавно в сканировании или переборе логинов по интернету, и риск-скор 0-100, объединяющий несколько этих сигналов в одно число.

Каждый из этих сигналов — реальный, уже вычисленный факт, а не отдельный запрос к стороннему API специально ради этой страницы. Сигнал VPN/прокси объединяет эвристику классификации хостинг/дата-центр с реальным флагом сети анонимного прокси; сигнал Tor — курируемый список выходных узлов; флаг вредоносности берётся из десяти настроенных фидов threat intelligence; флаг сканера — из recon-фидов Dataplane.org по отдельным сервисам. Риск-скор — прозрачная детерминированная взвешенная сводка по этим и ещё нескольким сигналам (хостинг, отсутствие обратного DNS, диапазоны массовой рассылки почты) — никогда не «чёрный ящик» и никогда не вызов платного стороннего API оценки мошенничества.

Здесь намеренно разделены два понятия, и важно, чтобы они оставались раздельными: сигнал СКАНЕРА («недавно замечен в переборе логинов SSH/Telnet/RDP по интернету») — это рекомендательная репутация, а не подтверждённый вредоносный вердикт: за трафиком сканирования часто стоят исследователи безопасности, неправильно настроенные устройства или общая инфраструктура, а не атакующие. Он никогда не сворачивается в флаг вредоносности. А РИСК-СКОР — это именно скор, отправная точка для суждения, а не окончательное утверждение «этот IP плохой». Низкий скор не гарантирует безопасность адреса, а высокий не доказывает вину того, кто использует его прямо сейчас (адреса переназначаются, используются совместно и подделываются).

Этот бесплатный инструмент проверяет ВАШ СОБСТВЕННЫЙ IP полностью — все булевы сигналы плюс точный числовой скор, — поскольку «не помечено ли моё собственное соединение?» и есть главная причина обращения к такому инструменту. Проверка ЧУЖОГО адреса возвращает только грубую категорию риска (низкий/средний/высокий) плюс флаг вредоносности, намеренно скрывая булеву разбивку и точный скор: раздавать полную антифрод-детализацию по ЛЮБОМУ адресу бесплатно означало бы раздавать тот же продукт, который продаёт группа security нашего платного API. Полная детализация по любому IP доступна через API на платном тарифе — см. раздел «Аналог в API» ниже, чем именно отличается.

Как пользоваться этой проверкой

1. Оставьте поле пустым или введите адрес

   Оставьте поле IP пустым, чтобы проверить свой собственный адрес (частый случай), либо введите любой IPv4/IPv6-адрес, чтобы проверить другой.

2. Проверить репутацию

   Нажмите «Проверить репутацию» (или откройте URL-permalink), чтобы запустить проверку по уже вычисленным сигналам privacy, threat-intel, recon и fraud.

3. Прочитайте вердикт

   Для вашего собственного IP вы получаете вердикт чисто/подозрительно/высокий риск, точный риск-скор 0-100 и все 5 булевых сигналов; для любого другого адреса — только категорию риска и флаг вредоносности.

4. Поделиться

   URL страницы обновляется вашим запросом как permalink, поэтому текущий результат можно скопировать и передать напрямую.

Глоссарий

Анонимный прокси

Сеть, намеренно скрывающая исходный адрес, сопоставляемая здесь с курируемым набором данных о топологии сети — отличается от обычного хостинг/дата-центр пространства, которое является более слабой эвристикой признаков VPN, а не подтверждённым анонимайзером.

Выходной узел Tor

Последний узел в цепочке Tor перед выходом трафика в открытый интернет — адрес, который реально видит целевой сервер, сопоставляется с поддерживаемым списком выходных узлов.

Threat intelligence

Курируемые фиды адресов, замеченных в подтверждённой вредоносной активности (управление ботнетами, активные атаки); совпадение с одним или несколькими фидами устанавливает флаг вредоносности.

Активный recon / сигнал сканера

РЕКОМЕНДАТЕЛЬНЫЙ сигнал — адрес недавно замечен в попытках автоматических логинов или зондирования (SSH, Telnet, RDP и подобных) по интернету. Намеренно отделён от флага вредоносности: замеченное сканирование — это не то же самое утверждение, что подтверждённая вредоносность.

Риск-скор

Число 0-100, объединяющее несколько сигналов (хостинг, VPN, Tor, вредоносность, отсутствие обратного DNS, диапазоны массовой рассылки почты) с настроенными весами — прозрачная отправная точка для суждения, а не окончательный вердикт сам по себе.

Хостинг/дата-центр

Адресное пространство, зарегистрированное на хостинг- или облачного провайдера, а не на домашнего/мобильного интернет-провайдера — обычное явление и для легитимных серверов, и для выходов VPN, поэтому это слабый сигнал сам по себе, не доказательство чего-либо.

Аналог в API

Эта страница под капотом вызывает наш собственный публичный tools-эндпоинт — вы можете вызвать тот же эндпоинт напрямую, без авторизации, с учётом лимита запросов на вызывающего. Она намеренно отдаёт меньше по чужому адресу, чем группа security нашего полного API (?include=security), которая является платным метрируемым продуктом — для сравнения ниже показан curl с полной детализацией:

curl "https://ip.xakki.pro/api/v1/tools/reputation?ip=8.8.8.8"

Пример ответа (тир arbitrary — для собственного IP вызывающего дополнительно были бы riskScore/isVpnOrProxy/isTor/isHosting/isScanner):

{
  "ip": "8.8.8.8",
  "tier": "arbitrary",
  "verdict": "clean",
  "isMalicious": false,
  "riskLevel": "low"
}

curl -H "Authorization: Bearer <token>" "https://ip.xakki.pro/api/v1/ip?ip=8.8.8.8&include=security"

Читать полную документацию API

Похожие инструменты

• Все бесплатные инструменты
• Инспектор HTTP-заголовков
• Тест утечки WebRTC
• API определения мошенничества по IP

Часто задаваемые вопросы

Почему по своему IP я получаю больше детализации, чем по любому другому адресу?

Чтобы этот бесплатный инструмент не раздавал ту же детальную антифрод-проверку, которую продаёт наш платный API, по ЛЮБОМУ адресу. Проверка своего собственного соединения — «не помечен ли я как прокси? не считается ли мой IP рискованным?» — главная причина, по которой пользуются таким инструментом, поэтому для этого сценария сохраняется полная детализация; для чужого адреса — только грубая категория.

Сигнал «сканер» — это то же самое, что «вредоносный»?

Нет, и это сделано намеренно. Сигнал сканера означает, что адрес недавно был замечен в попытках автоматических логинов или зондирования по интернету — рекомендательный сигнал репутации. Он никогда не сворачивается в флаг вредоносности, который берётся из отдельных курируемых фидов threat intelligence. Адрес может быть помечен как сканер, ни разу не будучи подтверждён как вредоносный, и наоборот.

Вердикт «чисто» гарантирует, что адрес безопасен?

Нет. Вердикт «чисто» означает, что ни один из наших текущих загруженных сигналов не сработал для этого адреса прямо сейчас — а не то, что адрес проверен как безопасный навсегда. Threat-фиды покрывают только то, что они наблюдали; адрес может выпасть из всех списков, быть переназначен или начать использоваться иначе уже завтра.

Логирует или хранит ли этот инструмент адреса, которые я проверяю?

Ваш запрос отправляется на наш сервер для выполнения проверки (в отличие от наших чисто клиентских калькуляторов), а результаты кратко кэшируются, чтобы не пересчитывать один и тот же запрос при каждой перезагрузке страницы — тот же паттерн короткоживущего кэша, что и у других эндпоинтов tools-полосы, а не постоянная запись, привязанная к вам.

Почему частный или зарезервированный IP показывает «неприменимо» вместо вердикта?

Сигналы репутации и риска действительно неприменимы к немаршрутизируемому пространству (частные диапазоны, loopback, CGNAT, зарезервированные блоки) — для них нет данных privacy/threat-intel, из которых можно вычислить вердикт, поэтому инструмент говорит об этом явно, а не показывает вводящий в заблуждение результат «чисто».

Есть ли у этого инструмента лимит запросов?

Да — эта страница и её эндпоинт API используют общий лимит запросов на вызывающего бесплатной tools-полосы, независимый от дневной квоты нашего основного API поиска по IP. Если вам нужен больший объём или программный доступ с полной детализацией по любому адресу, наша документация API описывает платные тарифы.