الأسئلة الشائعة (FAQ)

ينظم CleanIP أنواع IP بناءً على اتساق الملكية، والغرض من الشبكة، ومخاطر إخفاء الهوية. الأنواع الشائعة كما يلي:

تشير الألوان فقط إلى اتجاه المخاطر، وليست استنتاجًا قاطعًا. ويظل الحكم النهائي معتمدًا على سجل إساءة الاستخدام وسمعة ASN وسيناريو العمل المحدد.

الطريقة الشائعة هي التحقق من نوع الجهة المالكة لرقم ASN. لكن هذا يبين فقط أن عنوان IP مملوك لمزود خدمة إنترنت — ولا يعني أنه مستخدم فعلًا في النطاق العريض المنزلي. على سبيل المثال، معظم عناوين IP لخوادم IDC التقليدية في الصين مسجلة باسم مشغلي الاتصالات الثلاثة الكبار (China Telecom وChina Unicom وChina Mobile)، لأنهم مزودو خدمة إنترنت، لكن هذه العناوين مستخدمة فعليًا في خوادم مراكز البيانات.

يجمع CleanIP بين نوع ASN، واسم المؤسسة، وDNS العكسي، والمنافذ المفتوحة، ولافتات الخدمات (Banner)، وإشارات البروكسي/VPN، والسلوك التاريخي للوصول إلى هذا الحكم. ويساعد ذلك على التمييز بين حالتين يسهل الخلط بينهما: عناوين IP لخوادم مراكز البيانات المسجلة باسم مشغل اتصالات، ونقاط خروج البروكسي السكني المتنكرة في هيئة نطاق عريض منزلي.

IP الأصلي هو عنوان IP تتطابق دولة تسجيل نطاقه مع دولة الموقع الجغرافي المحددة حاليًا، وإذا اختلفت الدولتان فهو IP غير أصلي. دولة تسجيل النطاق هي الدولة الواردة في ملفات التفويض اليومية لسجلات RIR الخمسة، أي دولة الجهة الحائزة التي خصص لها RIR هذه الكتلة — وهو الأساس نفسه الذي تعتمده MaxMind وقواعد البيانات الرئيسية الأخرى للدولة المسجلة. ولا نلجأ إلى whois وRDAP إلا عندما يذكر ملف التفويض رمز منطقة فقط. أما حقل country في inetnum ضمن whois فيملؤه الحائز بنفسه ولا يحدد الحكم. واختلاف دولة تسجيل ASN يظهر في تنبيه مستقل بشأن اختلاف المنطقة ولا يغير هذا الحكم أبدًا. ويمكن لكل من الشبكات السكنية وشبكات مراكز البيانات استخدام عناوين IP أصلية.

تشتري بعض شركات IDC العالمية متعددة الجنسيات (مثل AWS وGCP وAzure) كتل IP كبيرة لتسهيل الإدارة، وتعلن عنها في عدة دول. ويسمى هذا النوع من عناوين IP IP غير أصلي.

عندما يحمل عنوان IP وسم «أصلي»، فهذا يشير عادة إلى أنه يتبع نطاقًا عريضًا منزليًا أو مزود IDC محليًا. وعندما يظهر بوسم «غير أصلي»، فهذا يشير عادة إلى أنه ليس نطاقًا عريضًا منزليًا ولا يتبع مزود IDC محليًا.

يحدد CleanIP ما إذا كان عنوان IP أصليًا بناءً على موقع تسجيله. إذا تطابقت دولة التسجيل مع دولة الموقع الجغرافي للعنوان، يظهر الوسم «IP أصلي»؛ وإلا يظهر الوسم «IP غير أصلي». ويمكنك استخدام جدول «سجل موقع التسجيل» أدناه لعرض موقع تسجيل عنوان IP وسجله التاريخي.

ثلاثة أسباب نموذجية، مرتبة حسب تكرار حدوثها:

1. IP غير أصلي: تختلف دولة تسجيل عنوان IP عن دولة موقعه الجغرافي. وهو شائع لدى مراكز IDC متعددة الجنسيات ومزودي السحابة والعقد الخارجية لمشغلي الاتصالات أو عند إعلان مراكز البيانات عن نطاقاتها في الخارج. ويميز CleanIP ذلك بشارة IP غير أصلي صفراء.
2. البنية التحتية العامة: قد تستخدم خدمات DNS العام أو شبكات CDN أو عقد منصات السحابة العالمية كتل العناوين نفسها في مناطق متعددة، لذا قد تعرض قواعد بيانات الموقع الجغرافي دولًا أو مدنًا مختلفة حسب موقع المسبار ومنظور التوجيه.
3. تأخر قواعد البيانات الجغرافية: بعد انتقال ملكية كتلة IP، تتفاوت سرعة التحديث بين مزودي بيانات الموقع الجغرافي (يجري تحديث قواعد البيانات التجارية عادة كل أسبوع، وبعض المصادر المجانية كل شهر أو بوتيرة أبطأ). وتتقارب النتائج مع مرور الوقت؛ أما البيانات القديمة لدى أقلية من المصادر فتحتاج إلى تحقق متقاطع لاكتشافها.

يقارن CleanIP بيانات الموقع الجغرافي وASN وملكية الشبكة من مصادر متعددة جنبًا إلى جنب. فكلما زاد الاتساق ارتفع مستوى الثقة؛ وعند وجود تباين واضح، يعطي CleanIP الأولوية للإشارة إلى الأسباب المحتملة مثل IP غير أصلي أو البنية التحتية العامة أو تأخر قواعد البيانات.

يقدم CleanIP درجتين مستقلتين باتجاهين متعاكسين — فلا تخلط بينهما:

بالنسبة لمعظم عناوين IP، تكون الدرجتان مترابطتين عكسيًا (ارتفاع درجة النقاء يعني عادة انخفاض درجة المخاطر)، لكنهما ليستا متكاملتين بدقة. فطريقة حسابهما مختلفة: النقاء درجة جودة مركبة، بينما تميل درجة المخاطر أكثر إلى تقييم التهديدات وقرارات الحظر.

درجة النقاء (0–100، الأعلى يعني أنظف) هي تركيبة موزونة من 6 محاور:

• موثوقية الهوية (20%): اتساق ملكية ASN مع دولة تسجيل عنوان IP، والتحقق عبر RPKI، وما إذا كان بنية تحتية عامة معروفة
• إخفاء الهوية والتخفي (25%): كشف البروكسي / VPN / Tor / البروكسي السكني (كلما زاد التخفي زاد الخصم)
• سجل إساءة الاستخدام (20%): عدد بلاغات إساءة الاستخدام وعمرها، مع التحقق المتقاطع عبر مصادر بيانات متعددة
• الإدراج في القوائم السوداء (15%): 21 مصدرًا لقوائم DNSBL، وقواعد بيانات مصائد العسل (HTTPBL)، وقوائم عناوين IP المخترقة المعروفة
• سلوك الهجوم (10%): عدد الهجمات على مستوى الشبكة، بما يعكس سجلات الفحص النشط أو هجمات القوة الغاشمة
• السمعة المحلية (10%): تقييم CleanIP الخاص للسمعة وأحداث التهديد خلال آخر 30 يومًا

مطابقة التقديرات:

الدرجة ليست نتيجة حقل واحد — بل حكم مركب تشكله ستة محاور مجتمعة: الهوية، وإخفاء الهوية، وإساءة الاستخدام، والقائمة السوداء، والهجمات، والسمعة المحلية.

درجة المخاطر هي درجة منفصلة مستقلة عن النقاء (0–100، الأعلى يعني أخطر، أي عكس اتجاه النقاء). وهي مخصصة لقرارات إدارة المخاطر في الأعمال بشأن حظر عنوان IP أو إدراجه في القائمة السوداء:

تأتي بيانات إدارة المخاطر من مراقبة مصائد العسل، وبلاغات إساءة الاستخدام، وقوائم DNSBL السوداء، وتحليل السلوك، وغيرها من المصادر متعددة الأبعاد. وتتناقص قيمة المخاطر لعنوان IP بمرور الوقت مع تقادم سجلات إدارة المخاطر.

ملاحظة: الرقم الكبير في الصفحة الرئيسية هو درجة النقاء، وليس درجة المخاطر. كلما ارتفع النقاء كان أفضل؛ وكلما ارتفعت درجة المخاطر كان الوضع أخطر.

لا ترتبط درجة المخاطر مباشرة بكون عنوان IP نطاقًا عريضًا منزليًا. فإذا سبق استخدام عنوان IP منزلي في الفحص أو هجمات القوة الغاشمة أو الزحف أو الهجمات الصادرة، فقد تكون درجة مخاطره مرتفعة. وفي المقابل، قد تكون درجة المخاطر منخفضة حتى لعنوان IP تابع لمركز بيانات إذا لم يكن له سجل سلوك ضار.

أسباب شائعة لارتفاع الدرجة على النطاق العريض المنزلي:

• • تلوث سابق — شغل مستخدم سابق حركة بروكسي أو زحف أو هجمات على عنوان IP هذا، واحتفظت مصادر البيانات بالسجل
• • وسم البادئة بأكملها — يوجد عنوان IP ضار في مكان آخر من كتلة /24 نفسها، فوسمت مصادر البيانات الكتلة بأكملها
• • اختراق جهاز — تعرض جهاز IoT في المنزل للاختراق وانضم إلى شبكة بوتات
• • عميل بروكسي سكني — يعمل على الشبكة برنامج بروكسي سكني مثل ProxyScrape أو 911

يتمتع تصنيف CleanIP على مستوى كتل IP بدقة عالية نسبيًا. لكن استخدام عناوين IP ليس ثابتًا — إذ ينتقل عدد كبير من العناوين إلى جهات أخرى كل يوم. وتبلغ دقة البيانات الإجمالية نحو 95%.

للتحقق مما إذا كان عنوان IP قد انتقل مؤخرًا إلى جهة أخرى، راجع وقت «أول ظهور» في بيانات ASN. فإذا كانت بيانات هذا العنوان حديثة، فقد يشير ذلك إلى تغير ملكيته أو حالته.

يقدر تصنيف أمان المنصات احتمال أن يؤدي عنوان IP هذا إلى طلب تحقق أو فرض قيود أو حظر في سيناريوهات الأعمال المختلفة. ويأخذ في الحسبان نوع IP، ومخاطر إخفاء الهوية، والاتساق الجغرافي، وسجل إساءة الاستخدام، ومدى تساهل المنصة. وتنقسم التصنيفات إلى ثلاثة مستويات:

• آمن: مناسب عمومًا للاستخدام طويل الأمد، مع احتمال منخفض لطلب تحقق إضافي
• مخاطر: قد يؤدي أحيانًا إلى طلب تحقق أو فرض قيود
• حظر: احتمال مرتفع للتقييد أو الحظر

تصنيف أمان المنصات ليس ضمانًا. فسجل الحساب وبصمة الجهاز وطريقة الدفع والمنطقة وسلوك الوصول كلها تؤثر في النتيجة النهائية لإدارة المخاطر.

تتفاوت المنصات في مدى صرامة إدارة المخاطر لديها:

• متساهلة (YouTube وX/Twitter وFacebook والتجارة الإلكترونية والألعاب): تراقب أساسًا Tor والبروكسيات العامة وإساءة الاستخدام الشديدة
• صارمة (Netflix وDisney+ وTikTok): تحظر بشكل فعال عناوين IP التابعة لمراكز البيانات وخدمات VPN
• بمستوى أنظمة الدفع: أكثر حساسية لخدمات إخفاء الهوية، وعناوين IP التابعة لمراكز البيانات، وعدم الاتساق الجغرافي، والأجهزة غير المعتادة
• منصات الذكاء الاصطناعي: حساسة نسبيًا للبروكسيات وعناوين IP التابعة لمراكز البيانات

تجمع بصمة المتصفح سلسلة من خصائص المتصفح والجهاز (مثل إصدار المتصفح، ونظام التشغيل، ودقة الشاشة، والخطوط المثبتة، والمنطقة الزمنية، ومخرجات Canvas/WebGL) وتدمجها في معرف شبه فريد، يستخدم للتعرف على الجهاز نفسه أو تتبعه دون الحاجة إلى ملفات تعريف الارتباط (Cookie).

تشمل إشارات البصمة الشائعة: User-Agent، ودقة الشاشة/عمق الألوان، وإعدادات المنطقة الزمنية/اللغة، ومخرجات العرض في Canvas/WebGL، والاختلافات في قياس الخطوط، وبصمة الصوت، وعدد أنوية المعالج، وغيرها. وحتى لو مسحت ملفات تعريف الارتباط أو استخدمت نافذة خاصة، يمكن للبصمة أن تتعرف عليك.

يحدث تسريب WebRTC عندما تكشف عملية اتصال WebRTC في المتصفح (تبادل مرشحات ICE) عن غير قصد عنوان IP المحلي أو العام الحقيقي الخاص بك — أي أنه حتى أثناء استخدام VPN أو بروكسي، قد يرى الموقع المستهدف IP الحقيقي الخاص بك.

• Chrome: ثبت إضافة «WebRTC Network Limiter» (من Google) أو «WebRTC Leak Prevent»
• Firefoxفي صفحة about:config، اضبط media.peerconnection.enabled على false

بصمة JA3 هي بصمة تجزئة (hash) تنتج عن تحليل حقول رسالة Client Hello التي يرسلها العميل أثناء مصافحة TLS (إصدار SSL، ومجموعات التشفير، والامتدادات، والمنحنيات الإهليلجية، وغيرها)، وتحدد تطبيق العميل بشكل فريد. وتستخدم المتصفحات والتطبيقات المختلفة تركيبات مختلفة من معاملات TLS عند إنشاء اتصالات HTTPS، وتشكل هذه الاختلافات نوعًا من «بصمة طبقة الشبكة».

JA4 هي نسخة محسنة من JA3 تعالج حساسية JA3 لتغير الترتيب، مما يتيح تمييزًا أفضل بين التطبيقات المعدلة تعديلًا طفيفًا.

تصنيف «مزود خدمة الإنترنت المزدوج» يعني فقط أن الجهة المالكة لعنوان IP مزود خدمة إنترنت — ولا يعني أن العنوان مستخدم فعلًا في النطاق العريض المنزلي. على سبيل المثال، عنوان IP 110.242.68.66 الذي يعيده ping baidu.com يتبع China Unicom ونوع ASN الخاص به هو مزود خدمة الإنترنت (ISP)، لكنه في الواقع أحد عناوين IP لخوادم Baidu.

يستخدم محرك كشف الخوادم في CleanIP تقنيات مثل DNS العكسي وفحص المنافذ وتحليل اللافتات (Banner) وغيرها لتحديد عناوين IP الفعلية للخوادم داخل شبكات مزودي خدمة الإنترنت، مما يوفر تصنيفًا أدق.

يجمع CleanIP بين مصادر استخبارات IP التجارية، وبيانات الشبكة العامة، وقواعد بيانات التوجيه، وقوائم DNS السوداء، وبيانات السلوك الخاصة به. وتغطي المصادر المختلفة محاور مختلفة:

• الموقع الجغرافي وملكية ASN
• كشف البروكسي وVPN وTor والبروكسي السكني
• بلاغات إساءة الاستخدام وسجلات القوائم السوداء
• حركة مرور ASN وتوصيف الشبكة
• توجيه BGP وسجل التسجيل
• المنافذ المفتوحة وبصمات الخدمات
• مصائد عسل خاصة بنا ومراقبة السلوك
• قاعدة بيانات العلامات التجارية والبنية التحتية العامة المنسقة يدويًا

عندما تختلف مصادر البيانات، يعطي CleanIP الأولوية لعرض استنتاج قابل للتفسير، ويبقي قناة ملاحظات المستخدمين مفتوحة لتصحيح العينات الشاذة.

«عدد المستخدمين المشتركين» هو تقدير لعدد المستخدمين الفريدين المرتبطين بعنوان IP، استنادًا إلى مراقبة البيانات الضخمة وتحليلها على مستوى الشبكة. وعادة ما يشير اشتراك عدد كبير من المستخدمين في عنوان IP واحد إلى أنه عنوان بروكسي عام أو VPN.

نظرًا للانتشار الواسع لتقنية NAT في البر الرئيسي الصيني، يصل عدد كبير من المستخدمين النهائيين إلى الإنترنت عبر IP العام نفسه، وهذا سلوك شبكي طبيعي. لذلك لا يعرض النظام افتراضيًا مؤشر عدد المستخدمين المشتركين لعناوين IP في البر الرئيسي الصيني.

تظل عناوين IP للنطاق العريض المنزلي عادة مسجلة تحت ASN ومؤسسة ثابتين، مع معدل تغير منخفض. وعندما يتغير ASN أو المؤسسة المالكة لعنوان IP بشكل متكرر عبر الزمن، فهذا يدل على عدم استقرار حالة ملكيته — ويوصف عادة بأنه IP «غير نظيف».

يتيح لك جدولا سجل ASN وسجل الشركة رؤية جميع سجلات التغيير الخاصة بعنوان IP بوضوح، مما يساعد على تقييم استقراره.

تتعرف وحدة جمع البيانات في CleanIP على عناوين IP التابعة لشبكات CDN الشائعة (بما فيها Cloudflare وAkamai وTencent Cloud CDN وAlibaba Cloud CDN وغيرها). وإذا كنت تشغل بروكسي عكسيًا على خادمك وكان النطاق الذي يمر عبره يستخدم CDN، فقد يتم التعرف على IP خادمك على أنه IP تابع لشبكة CDN.

يجري CleanIP فحص اتصال TCP على 26 منفذًا شائعًا في عنوان IP المستهدف. وإلى جانب اكتشاف المنافذ المفتوحة، فإنه أيضًا يقوم بما يلي:

• التقاط اللافتات (Banner): يحدد البرنامج الذي يعمل على المنافذ المفتوحة وإصداره بدقة
• مطابقة CPE: يطابق البرامج المكتشفة مع معرفات CPE الموحدة
• استنتاج الوسوم: يستنتج نوع IP من تركيبات المنافذ وبيانات CPE (مثل CDN وقاعدة بيانات وIoT وغيرها)
• مطابقة ثغرات CVE: يقارن إصدارات البرامج المكتشفة بقواعد بيانات ثغرات CVE المعروفة

CPE (تعداد المنصات المشترك) هو نظام موحد لتسمية البرامج؛ على سبيل المثال، cpe:/a:nginx:nginx:1.24.0 يمثل Nginx 1.24.0.

CVE (الثغرات ونقاط الانكشاف الشائعة) هو المعرف القياسي للثغرات الأمنية المعروفة — على سبيل المثال، CVE-2024-6387 ثغرة تنفيذ تعليمات برمجية عن بعد في OpenSSH. ويطابق CleanIP تلقائيًا إصدارات البرامج المكتشفة بالفحص مع ثغرات CVE المعروفة عالية الخطورة.