پرسش‌های متداول (FAQ)

CleanIP انواع IP را بر اساس این معیارها دسته‌بندی می‌کند: هم‌خوانی مالکیت، کاربری شبکه و ریسک ناشناس‌بودن. انواع رایج به شرح زیر است:

رنگ‌ها فقط گرایش ریسک را نشان می‌دهند، نه یک نتیجه‌گیری قطعی. قضاوت نهایی همچنان به سابقه سوءاستفاده، اعتبار ASN و سناریوی مشخص کسب‌وکار بستگی دارد.

روش رایج برای تشخیص، بررسی این مورد است: نوع مالک ASN. با این حال، این فقط نشان می‌دهد که مالک IP یک ارائه‌دهنده اینترنت (ISP) است و به این معنا نیست که IP واقعاً برای اینترنت خانگی استفاده می‌شود. برای مثال، در چین بیشتر IPهای سرورهای سنتی IDC به نام سه اپراتور بزرگ (China Telecom، China Unicom، China Mobile) ثبت شده‌اند، چون این اپراتورها ارائه‌دهنده اینترنت هستند؛ اما این IPها در واقع در سرورهای دیتاسنتر استفاده می‌شوند.

CleanIP برای این تشخیص، نوع ASN، نام سازمان، DNS معکوس، پورت‌های باز، بنر سرویس‌ها، سیگنال‌های پروکسی/VPN و سابقه رفتاری را با هم ترکیب می‌کند. این کار به تفکیک دو حالتی کمک می‌کند که به‌راحتی با هم اشتباه گرفته می‌شوند: IPهای سرور دیتاسنتر که به نام یک اپراتور ثبت شده‌اند، و نقاط خروجی پروکسی مسکونی که خود را اینترنت خانگی جا می‌زنند.

IP بومی به IPهایی گفته می‌شود که کشور ثبت محدوده‌شان با کشور موقعیت جغرافیایی انتخاب‌شده یکسان است؛ اگر دو کشور متفاوت باشند، IP غیربومی نمایش داده می‌شود. کشور ثبت محدوده، کشوری است که در فایل‌های تخصیص روزانه پنج RIR برای این بلوک آمده است، یعنی کشور دارنده‌ای که RIR این بلوک را به او تخصیص داده است — همان مبنای کشور ثبت در MaxMind و دیگر پایگاه‌های داده اصلی. فقط زمانی که فایل تخصیص تنها کد منطقه را ارائه می‌دهد، به whois و RDAP رجوع می‌کنیم. کشور inetnum در whois را خود دارنده وارد می‌کند و مبنای تشخیص نیست. متفاوت بودن کشور ثبت ASN فقط به‌صورت هشدار جداگانه «فرامنطقه‌ای» نمایش داده می‌شود و هرگز این تشخیص را تغییر نمی‌دهد. هم شبکه‌های مسکونی و هم شبکه‌های دیتاسنتر ممکن است از IP بومی استفاده کنند.

برخی ارائه‌دهندگان IDC جهانی و چندملیتی (مانند AWS، GCP و Azure) برای سهولت مدیریت، بلوک‌های بزرگ IP خریداری می‌کنند و آن‌ها را در کشورهای مختلف اعلام می‌کنند. به این نوع IP اصطلاحاً گفته می‌شود: IP غیربومی.

وقتی یک IP به‌عنوان بومی علامت‌گذاری می‌شود، معمولاً نشان می‌دهد که IP متعلق به اینترنت خانگی یا یک ارائه‌دهنده IDC محلی است. وقتی یک IP غیربومی نمایش داده می‌شود، معمولاً یعنی IP نه اینترنت خانگی است و نه متعلق به یک ارائه‌دهنده IDC محلی.

CleanIP بومی بودن یک IP را بر اساس مکان ثبت آن تعیین می‌کند. اگر کشور ثبت با کشور موقعیت جغرافیایی آدرس یکسان باشد، «IP بومی» نمایش داده می‌شود؛ در غیر این صورت «IP غیربومی» نمایش داده می‌شود. با جدول «سابقه مکان ثبت» در پایین می‌توانید مکان ثبت IP و سوابق تاریخی آن را مشاهده کنید.

سه دلیل رایج، به ترتیب فراوانی:

1. IP غیربومی: کشور ثبت IP با کشور موقعیت جغرافیایی آن متفاوت است. این حالت در IDCهای چندملیتی، ارائه‌دهندگان ابری، گره‌های خارجی اپراتورها یا اعلام محدوده IP از دیتاسنترهای خارجی رایج است. CleanIP این حالت را با نشان زرد IP غیربومی مشخص می‌کند.
2. زیرساخت عمومی: DNS عمومی، CDNها یا گره‌های پلتفرم‌های ابری جهانی ممکن است از یک بلوک آدرس یکسان در چند منطقه استفاده کنند، بنابراین پایگاه‌های داده جغرافیایی بسته به موقعیت پروب و دیدگاه مسیریابی ممکن است کشور یا شهر متفاوتی گزارش کنند.
3. تأخیر پایگاه داده جغرافیایی: پس از تغییر مالکیت یک بلوک IP، ارائه‌دهندگان مختلف داده جغرافیایی با سرعت‌های متفاوتی به‌روزرسانی می‌کنند (پایگاه‌های داده جغرافیایی تجاری معمولاً هفتگی به‌روز می‌شوند، در حالی که برخی منابع رایگان ماهانه یا کندتر به‌روز می‌شوند). این وضعیت با گذشت زمان همگرا می‌شود؛ برای شناسایی داده‌های قدیمیِ تعداد معدودی از منابع، اعتبارسنجی متقابل لازم است.

CleanIP داده‌های موقعیت جغرافیایی، ASN و مالکیت شبکه را از چند منبع در کنار هم مقایسه می‌کند. هرچه سازگاری بیشتر باشد، اطمینان بالاتر است؛ وقتی اختلاف آشکاری وجود دارد، CleanIP در درجه اول دلایل محتمل مانند IPهای غیربومی، زیرساخت عمومی یا تأخیر پایگاه داده را مشخص می‌کند.

CleanIP به‌طور هم‌زمان دو امتیاز مستقل ارائه می‌دهد که در جهت مخالف یکدیگرند — آن‌ها را با هم اشتباه نگیرید:

در بیشتر IPها، این دو امتیاز همبستگی منفی دارند (امتیاز تمیزی بالا معمولاً به معنای امتیاز ریسک پایین‌تر است)، اما دقیقاً مکمل یکدیگر نیستند. شیوه محاسبه آن‌ها متفاوت است: تمیزی یک امتیاز کیفیت ترکیبی است، در حالی که امتیاز ریسک بیشتر به تهدید و تصمیم‌گیری برای مسدودسازی گرایش دارد.

امتیاز تمیزی (0–100، هرچه بالاتر، تمیزتر) از ترکیب وزنی 6 مؤلفه تشکیل می‌شود:

• اعتمادپذیری هویت (20%): یکسان بودن کشور ثبت محدوده IP با کشور موقعیت جغرافیایی، اعتبارسنجی RPKI، و اینکه آیا جزو زیرساخت‌های عمومی شناخته‌شده است یا نه
• ناشناس‌سازی و پنهان‌کاری (25%): تشخیص پروکسی / VPN / Tor / پروکسی مسکونی (هرچه پنهان‌تر، کسر امتیاز بیشتر)
• سابقه سوءاستفاده (20%): تعداد گزارش‌های سوءاستفاده و قدمت گزارش‌ها، با اعتبارسنجی متقابل در چند منبع داده
• پوشش لیست سیاه (15%): 21 منبع DNSBL، پایگاه‌های داده هانی‌پات (HTTPBL) و فهرست IPهای هک‌شده شناخته‌شده
• رفتار حمله (10%): شمار حملات در کل شبکه، که بیانگر سوابق اسکن فعال یا حمله بروت‌فورس است
• اعتبار محلی (10%): ارزیابی اعتبار توسط خود CleanIP و رویدادهای تهدید در 30 روز گذشته

نگاشت درجه‌ها:

امتیاز حاصل یک فیلد واحد نیست؛ بلکه قضاوتی ترکیبی است که از اثر هم‌زمان شش بعد شکل می‌گیرد: هویت، ناشناس‌سازی، سوءاستفاده، لیست سیاه، حملات و اعتبار محلی.

امتیاز ریسک امتیازی جداگانه و مستقل از تمیزی است (0–100، هرچه بالاتر، خطرناک‌تر، در جهت مخالف تمیزی). این امتیاز به‌طور خاص برای تصمیم‌گیری سیستم کنترل ریسک کسب‌وکارها درباره اینکه آیا یک IP باید مسدود شود یا در لیست سیاه قرار گیرد به کار می‌رود:

داده‌های کنترل ریسک از منابع چندبعدی مانند پایش هانی‌پات، گزارش‌های سوءاستفاده، لیست‌های سیاه DNSBL و تحلیل رفتار به دست می‌آیند. مقدار ریسک یک IP با گذشت زمان و قدیمی‌تر شدن سوابق کنترل ریسک کاهش می‌یابد.

توجه: عدد بزرگ صفحه اصلی امتیاز تمیزی است، نه امتیاز ریسک. تمیزی بالاتر بهتر است؛ امتیاز ریسک بالاتر خطرناک‌تر است.

امتیاز ریسک ارتباط مستقیمی با اینترنت خانگی بودن یا نبودن یک IP ندارد. اگر یک IP اینترنت خانگی قبلاً برای اسکن، بروت‌فورس، اجرای خزنده یا حمله به مقصدهای بیرونی استفاده شده باشد، ممکن است امتیاز ریسک آن بالا باشد. برعکس، حتی یک IP دیتاسنتر هم اگر سابقه رفتار مخرب نداشته باشد، می‌تواند امتیاز ریسک پایینی داشته باشد.

دلایل رایج امتیاز بالا در اینترنت خانگی:

• • آلودگی از گذشته — کاربر قبلی روی این IP ترافیک پروکسی، خزنده یا حمله اجرا کرده و منابع داده این سابقه را نگه داشته‌اند
• • علامت‌گذاری کل پیشوند — در همان بلوک /24 یک IP مخرب وجود دارد و منابع داده کل بلوک را علامت‌گذاری کرده‌اند
• • نفوذ به دستگاه — یک دستگاه IoT در خانه هک شده و به عضوی از یک بات‌نت تبدیل شده است
• • کلاینت پروکسی مسکونی — نرم‌افزار پروکسی مسکونی مانند ProxyScrape یا 911 روی شبکه در حال اجراست

طبقه‌بندی CleanIP در سطح بلوک IP دقت نسبتاً بالایی دارد. اما نحوه استفاده از آدرس‌های IP ثابت نیست — هر روز تعداد زیادی IP دست‌به‌دست می‌شوند. دقت کلی داده‌ها تقریباً حدود 95% است.

برای بررسی اینکه آیا یک IP اخیراً دست‌به‌دست شده است، به زمان «اولین مشاهده» در داده‌های ASN نگاه کنید. اگر داده‌های این IP جدید باشد، ممکن است نشان دهد که مالکیت یا وضعیت آن تغییر کرده است.

رتبه‌بندی ایمنی پلتفرم تخمین می‌زند که این IP با چه احتمالی در سناریوهای مختلف کسب‌وکار باعث احراز هویت، محدودیت یا مسدودسازی می‌شود. این رتبه‌بندی نوع IP، ریسک ناشناس بودن، سازگاری جغرافیایی، سابقه سوءاستفاده و میزان تحمل پلتفرم را در نظر می‌گیرد. رتبه‌ها در سه سطح قرار می‌گیرند:

• ایمن: معمولاً برای استفاده طولانی‌مدت مناسب است و احتمال درخواست احراز هویت اضافی پایین است
• ریسک: ممکن است گاهی باعث احراز هویت یا محدودیت شود
• مسدود: احتمال زیاد محدود یا مسدود شدن

رتبه‌بندی ایمنی پلتفرم تضمین نیست. سابقه حساب کاربری، اثر انگشت دستگاه، روش پرداخت، منطقه و رفتار دسترسی همگی بر نتیجه نهایی سیستم کنترل ریسک اثر می‌گذارند.

سخت‌گیری سیستم‌های کنترل ریسک در پلتفرم‌های مختلف متفاوت است:

• سهل‌گیر (YouTube، X/Twitter، Facebook، تجارت الکترونیک، بازی): عمدتاً به Tor، پروکسی‌های عمومی و سوءاستفاده‌های جدی توجه می‌کنند
• سخت‌گیر (Netflix، Disney+، TikTok): IPهای دیتاسنتر و VPN را فعالانه مسدود می‌کنند
• سطح پرداخت: نسبت به سرویس‌های ناشناس‌سازی، IPهای دیتاسنتر، ناهمخوانی جغرافیایی و دستگاه‌های غیرعادی حساس‌ترند
• پلتفرم‌های هوش مصنوعی: نسبت به پروکسی‌ها و IPهای دیتاسنتر نسبتاً حساس‌اند

اثر انگشت مرورگر مجموعه‌ای از ویژگی‌های مرورگر و دستگاه (مانند نسخه مرورگر، سیستم‌عامل، وضوح صفحه، فونت‌های نصب‌شده، منطقه زمانی و خروجی Canvas/WebGL) را جمع‌آوری کرده و آن‌ها را در قالب یک شناسه تقریباً یکتا ترکیب می‌کند تا بدون نیاز به کوکی، یک دستگاه را شناسایی یا ردیابی کند.

سیگنال‌های رایج اثر انگشت عبارت‌اند از: User-Agent، وضوح صفحه/عمق رنگ، تنظیمات منطقه زمانی/زبان، خروجی رندر Canvas/WebGL، تفاوت‌های اندازه‌گیری فونت، اثر انگشت صوتی، همروندی سخت‌افزاری و موارد دیگر. حتی اگر کوکی‌ها را پاک کنید یا از پنجره خصوصی استفاده کنید، اثر انگشت همچنان می‌تواند شما را شناسایی کند.

نشت WebRTC زمانی رخ می‌دهد که فرایند اتصال WebRTC مرورگر (تبادل کاندیداهای ICE) به‌طور ناخواسته آدرس IP محلی یا IP عمومی واقعی شما را افشا کند — یعنی حتی هنگام استفاده از VPN یا پروکسی، وب‌سایت مقصد ممکن است همچنان IP واقعی شما را ببیند.

• Chrome: افزونه «WebRTC Network Limiter» (ساخت Google) یا «WebRTC Leak Prevent» را نصب کنید
• Firefox: در صفحه about:config، تنظیم کنید: media.peerconnection.enabled = false

اثر انگشت JA3 یک اثر انگشت هش است که با تحلیل فیلدهای پیام Client Hello، که کلاینت هنگام دست‌دهی TLS ارسال می‌کند (نسخه SSL، مجموعه‌های رمزنگاری، افزونه‌ها، منحنی‌های بیضوی و غیره)، تولید می‌شود و پیاده‌سازی کلاینت را به‌طور یکتا شناسایی می‌کند. مرورگرها و برنامه‌های مختلف هنگام برقراری اتصال HTTPS از ترکیب‌های متفاوتی از پارامترهای TLS استفاده می‌کنند و همین تفاوت‌ها نوعی «اثر انگشت لایه شبکه» را شکل می‌دهند.

JA4 نسخه بهبودیافته JA3 است که مشکلاتی مانند حساسیت JA3 به تغییر ترتیب را برطرف می‌کند و پیاده‌سازی‌هایی را که اندکی تغییر کرده‌اند بهتر از هم تفکیک می‌کند.

«ISP دوگانه» فقط به این معناست که مالک IP یک ارائه‌دهنده اینترنت (ISP) است و به این معنا نیست که IP واقعاً برای اینترنت خانگی استفاده می‌شود. برای مثال، IP 110.242.68.66 که از دستور ping baidu.com به دست می‌آید، متعلق به China Unicom است و نوع ASN آن ISP است، اما در واقع یکی از IPهای سرور Baidu است.

موتور تشخیص سرور CleanIP با استفاده از DNS معکوس، اسکن پورت، تحلیل بنر و روش‌های دیگر، IPهای واقعی سرورها را در شبکه‌های ارائه‌دهنده اینترنت شناسایی می‌کند و طبقه‌بندی دقیق‌تری ارائه می‌دهد.

CleanIP منابع تجاری اطلاعات IP، داده‌های عمومی شبکه، پایگاه‌های داده مسیریابی، لیست‌های سیاه DNS و داده‌های رفتاری خود را با هم ترکیب می‌کند. منابع مختلف جنبه‌های مختلفی را پوشش می‌دهند:

• موقعیت جغرافیایی و مالکیت ASN
• تشخیص پروکسی، VPN، Tor و پروکسی مسکونی
• گزارش‌های سوءاستفاده و سوابق لیست سیاه
• ترافیک ASN و پروفایل شبکه
• مسیریابی BGP و سابقه محل ثبت
• پورت‌های باز و اثر انگشت سرویس‌ها
• هانی‌پات‌های اختصاصی و پایش رفتار
• پایگاه داده برندها و زیرساخت‌های عمومی که به‌صورت دستی نگهداری می‌شود

هنگام اختلاف میان منابع داده، CleanIP اولویت را به نمایش نتیجه‌ای قابل توضیح می‌دهد و امکان ارسال بازخورد کاربران را برای اصلاح نمونه‌های غیرعادی باز نگه می‌دارد.

«کاربران اشتراکی» برآوردی از تعداد کاربران مجزای مرتبط با یک آدرس IP است که بر پایه پایش و تحلیل کلان‌داده در سطح کل اینترنت به دست می‌آید. اگر یک IP میان کاربران زیادی مشترک باشد، معمولاً یعنی IP یک پروکسی عمومی یا VPN است.

با توجه به استفاده گسترده از NAT در سرزمین اصلی چین، تعداد زیادی از کاربران نهایی از طریق یک IP عمومی واحد به اینترنت متصل می‌شوند که رفتاری عادی در شبکه است. به همین دلیل، سیستم به‌طور پیش‌فرض شاخص «کاربران اشتراکی» را برای آدرس‌های IP سرزمین اصلی چین نمایش نمی‌دهد.

آدرس‌های IP اینترنت خانگی معمولاً به‌طور ثابت زیر یک ASN و سازمان مشخص ثبت می‌مانند و نرخ تغییر پایینی دارند. وقتی ASN یا سازمان مالک یک IP در طول زمان مکرراً تغییر کند، نشان می‌دهد وضعیت مالکیت آن ناپایدار است — چیزی که معمولاً به آن IP «ناتمیز» می‌گویند.

جدول‌های سابقه ASN و سابقه شرکت همه سوابق تغییرات این IP را به‌روشنی نشان می‌دهند و به ارزیابی پایداری آن کمک می‌کنند.

ماژول جمع‌آوری داده CleanIP، IPهای متعلق به CDNهای رایج (از جمله Cloudflare، Akamai، Tencent Cloud CDN، Alibaba Cloud CDN و موارد دیگر) را شناسایی می‌کند. اگر روی سرور خود پروکسی معکوس اجرا کنید و دامنه‌ای که از طریق آن پروکسی می‌شود از CDN استفاده کند، ممکن است IP سرور شما به‌عنوان IP یک CDN شناسایی شود.

CleanIP روی 26 پورت رایج IP هدف، اسکن اتصال TCP انجام می‌دهد و علاوه بر کشف پورت‌های باز، این کارها را نیز انجام می‌دهد:

• جمع‌آوری بنر: نرم‌افزار و نسخه دقیقی را که روی پورت‌های باز اجرا می‌شود شناسایی می‌کند
• نگاشت CPE: نرم‌افزارهای شناسایی‌شده را به شناسه‌های استاندارد CPE نگاشت می‌کند
• استنتاج برچسب: نوع IP را از ترکیب پورت‌ها و داده‌های CPE استنتاج می‌کند (مثلاً CDN، پایگاه داده، IoT و غیره)
• تطبیق آسیب‌پذیری CVE: نسخه‌های نرم‌افزاری شناسایی‌شده را با پایگاه‌های داده آسیب‌پذیری‌های شناخته‌شده CVE تطبیق می‌دهد

CPE (Common Platform Enumeration) یک طرح استاندارد برای نام‌گذاری نرم‌افزار است؛ برای مثال، cpe:/a:nginx:nginx:1.24.0 نشان‌دهنده Nginx 1.24.0 است.

CVE (Common Vulnerabilities and Exposures) شناسه استاندارد آسیب‌پذیری‌های امنیتی شناخته‌شده است — برای مثال، CVE-2024-6387 یک آسیب‌پذیری اجرای کد از راه دور در OpenSSH است. CleanIP نسخه‌های نرم‌افزاری اسکن‌شده را به‌طور خودکار با CVEهای شناخته‌شده با شدت بالا تطبیق می‌دهد.