Domande frequenti (FAQ)

CleanIP classifica i tipi di IP in base alla coerenza della titolarità, alla finalità della rete e al rischio di anonimato. I tipi più comuni sono i seguenti:

I colori indicano solo una tendenza di rischio, non una conclusione assoluta. Il giudizio finale dipende comunque dallo storico degli abusi, dalla reputazione dell'ASN e dallo specifico scenario d'uso.

Un metodo comune consiste nel verificare il tipo di titolare dell'ASN. Tuttavia questo indica solo che l'IP appartiene a un ISP, non che sia effettivamente usato per una connessione domestica. Ad esempio, in Cina la maggior parte degli IP dei server IDC tradizionali è registrata a nome dei tre grandi operatori (China Telecom, China Unicom, China Mobile), che sono ISP, ma questi IP sono in realtà usati da server in datacenter.

CleanIP combina tipo di ASN, nome dell'organizzazione, DNS inverso, porte aperte, banner dei servizi, segnali di proxy/VPN e comportamento storico per decidere. Questo aiuta a distinguere due casi facilmente confondibili: IP di server in datacenter registrati a nome di un operatore e uscite di proxy residenziali camuffate da connessione domestica.

IP nativo indica un IP il cui paese di registrazione dell'intervallo coincide con il paese di geolocalizzazione selezionato. Se i paesi sono diversi, si tratta di un IP broadcast. Il paese di registrazione dell'intervallo è quello riportato nei file di delega giornalieri dei cinque RIR, cioè il paese del titolare a cui il RIR ha assegnato il blocco: lo stesso criterio del paese registrato di MaxMind e di altri database diffusi. Solo quando il file di delega indica un codice di regione ricorriamo a whois e RDAP. Il paese dell'inetnum nel whois è compilato dal titolare e non determina il verdetto. Un paese di registrazione dell'ASN diverso genera un avviso separato di discrepanza tra regioni e non modifica mai questo verdetto. Sia le reti domestiche sia quelle dei datacenter possono usare IP nativi.

Alcuni provider IDC globali e multinazionali (come AWS, GCP e Azure) acquistano grandi blocchi di IP per comodità di gestione e li annunciano in più paesi. Questo tipo di IP è detto IP broadcast.

Quando un IP è contrassegnato come nativo, di solito significa che appartiene a una connessione domestica o a un provider IDC locale. Quando un IP risulta broadcast, di solito significa che non appartiene né a una connessione domestica né a un provider IDC locale.

CleanIP stabilisce se un IP è nativo in base al luogo di registrazione. Se il paese di registrazione coincide con il paese dell'indirizzo geolocalizzato, viene mostrato come «IP nativo»; altrimenti come «IP broadcast». La tabella «Cronologia della registrazione» qui sotto permette di vedere il luogo di registrazione dell'IP e il suo storico.

Tre motivi tipici, in ordine di frequenza:

1. IP broadcast: il paese di registrazione dell'IP è diverso dal paese dell'indirizzo geolocalizzato. È frequente con IDC multinazionali, provider cloud, nodi esteri degli operatori o datacenter che annunciano blocchi all'estero. CleanIP lo segnala con il badge IP broadcast giallo.
2. Infrastruttura pubblica: DNS pubblici, CDN o nodi di piattaforme cloud globali possono usare gli stessi blocchi di indirizzi in più regioni, quindi i database geografici possono indicare paesi o città diversi a seconda della posizione della sonda e della prospettiva di routing.
3. Ritardo dei database geografici: dopo un cambio di titolarità di un blocco IP, i diversi provider geografici si aggiornano a velocità diverse (i database geografici commerciali in genere ogni settimana, alcune fonti gratuite ogni mese o più lentamente). Le differenze tendono a ridursi nel tempo; per individuare i dati obsoleti di una minoranza di fonti serve una verifica incrociata.

CleanIP confronta fianco a fianco i dati di geolocalizzazione, ASN e titolarità di rete provenienti da più fonti. Maggiore coerenza significa maggiore affidabilità; in caso di discrepanza evidente, CleanIP segnala per prime le cause probabili, come IP broadcast, infrastruttura pubblica o ritardo dei database.

CleanIP fornisce due punteggi indipendenti che vanno in direzioni opposte, da non confondere:

Per la maggior parte degli IP i due punteggi sono correlati negativamente (un punteggio di purezza alto di solito significa un punteggio di rischio più basso), ma non sono esattamente complementari. Si calcolano in modo diverso: la purezza è un punteggio di qualità complessivo, mentre il punteggio di rischio è più orientato alle minacce e alle decisioni di blocco.

Il punteggio di purezza (0–100, più alto significa più pulito) è una combinazione ponderata di 6 dimensioni:

• Affidabilità dell'identità (20%): coerenza tra il paese di registrazione dell'intervallo di IP e il paese di geolocalizzazione, validazione RPKI e appartenenza a infrastrutture pubbliche note
• Anonimizzazione ed elusione (25%): rilevamento di proxy / VPN / Tor / proxy residenziali (più è nascosto, maggiore è la penalità)
• Storico degli abusi (20%): numero ed età delle segnalazioni di abuso, con verifica incrociata su più fonti di dati
• Presenza in blacklist (15%): 21 fonti DNSBL, database di honeypot (HTTPBL) ed elenchi di IP notoriamente compromessi
• Comportamento di attacco (10%): conteggi di attacchi su tutta la rete, che riflettono scansioni attive o tentativi di brute force
• Reputazione locale (10%): valutazione della reputazione propria di CleanIP ed eventi di minaccia degli ultimi 30 giorni

Corrispondenza dei livelli:

Il punteggio non è il risultato di un singolo campo, ma un giudizio complessivo che nasce dall'azione combinata di sei dimensioni: identità, anonimato, abusi, blacklist, attacchi e reputazione locale.

Il punteggio di rischio è un punteggio separato, indipendente dalla purezza (0–100, più alto significa più pericoloso, nella direzione opposta alla purezza). Serve specificamente alle decisioni antifrode aziendali su quando bloccare un IP o inserirlo in blacklist:

I dati antifrode provengono da monitoraggio di honeypot, segnalazioni di abuso, blacklist DNSBL, analisi comportamentale e altre fonti multidimensionali. Il valore di rischio di un IP decade nel tempo, man mano che i dati antifrode invecchiano.

Nota: il numero grande in home page è il punteggio di purezza, non il punteggio di rischio. Una purezza più alta è migliore; un punteggio di rischio più alto è più pericoloso.

Il punteggio di rischio non dipende direttamente dal fatto che un IP sia di una connessione domestica. Se un IP domestico è stato usato in passato per scansioni, attacchi brute force, crawling o attacchi verso l'esterno, il suo punteggio di rischio può essere alto. Al contrario, anche un IP di datacenter può avere un punteggio di rischio basso se non ci sono registrazioni di comportamenti malevoli.

Motivi comuni di un punteggio alto su connessioni domestiche:

• • Contaminazione storica — un utente precedente ha generato traffico proxy, di crawler o di attacco da questo IP e le fonti di dati ne hanno conservato traccia
• • Segnalazione dell'intero prefisso — nello stesso blocco /24 c'è un IP malevolo e le fonti di dati hanno segnalato l'intero blocco
• • Dispositivo compromesso — un dispositivo IoT di casa è stato compromesso ed è entrato a far parte di una botnet
• • Client di proxy residenziale — sulla rete è in esecuzione un software di proxy residenziale come ProxyScrape o 911

La classificazione di CleanIP a livello di blocco IP ha un'accuratezza relativamente alta. Tuttavia l'uso degli indirizzi IP non è statico: ogni giorno un gran numero di IP cambia mano. L'accuratezza complessiva dei dati è intorno al 95%.

Per verificare se un IP ha cambiato mano di recente, guarda la data di «prima rilevazione» nei dati ASN. Se i dati di questo IP sono recenti, la sua titolarità o il suo stato potrebbero essere cambiati.

La valutazione di sicurezza delle piattaforme stima la probabilità che questo IP faccia scattare verifiche, restrizioni o blocchi nei diversi scenari d'uso. Tiene conto di tipo di IP, rischio di anonimato, coerenza geografica, storico degli abusi e tolleranza della piattaforma. Le valutazioni rientrano in tre livelli:

• Sicuro: in genere adatto all'uso a lungo termine, con bassa probabilità di far scattare verifiche aggiuntive
• Rischio: può occasionalmente far scattare verifiche o restrizioni
• Bloccato: alta probabilità di essere limitato o bannato

La valutazione di sicurezza delle piattaforme non è una garanzia. Storico dell'account, impronta del dispositivo, metodo di pagamento, regione e comportamento di accesso influenzano tutti l'esito finale dei sistemi antifrode.

Le piattaforme differiscono per la severità dei loro sistemi antifrode:

• Tolleranti (YouTube, X/Twitter, Facebook, e-commerce, gaming): controllano soprattutto Tor, proxy pubblici e abusi gravi
• Severe (Netflix, Disney+, TikTok): bloccano attivamente gli IP di datacenter e le VPN
• Livello pagamenti: più sensibili a servizi di anonimizzazione, IP di datacenter, incongruenze geografiche e dispositivi insoliti
• Piattaforme di IA: abbastanza sensibili a proxy e IP di datacenter

Il fingerprinting del browser raccoglie una serie di attributi del browser e del dispositivo (come versione del browser, sistema operativo, risoluzione dello schermo, font installati, fuso orario e output Canvas/WebGL) e li combina in un identificativo quasi univoco, usato per riconoscere o tracciare lo stesso dispositivo senza bisogno di cookie.

I segnali di impronta più comuni includono: User-Agent, risoluzione e profondità di colore dello schermo, impostazioni di fuso orario e lingua, output di rendering Canvas/WebGL, differenze nella misurazione dei font, impronta audio, concorrenza hardware e altro. Anche se cancelli i cookie o usi una finestra privata, il fingerprinting può comunque riconoscerti.

Una perdita WebRTC si verifica quando il processo di connessione WebRTC del browser (scambio dei candidati ICE) espone involontariamente il tuo indirizzo IP locale o il tuo IP pubblico reale: anche usando una VPN o un proxy, il sito di destinazione potrebbe comunque vedere il tuo IP reale.

• Chrome: installa l'estensione «WebRTC Network Limiter» (di Google) o «WebRTC Leak Prevent»
• FirefoxNella pagina about:config, imposta media.peerconnection.enabled su false

L'impronta JA3 è un'impronta hash generata analizzando i campi del messaggio Client Hello inviato dal client durante l'handshake TLS (versione SSL, suite di cifratura, estensioni, curve ellittiche, ecc.), che identifica in modo univoco l'implementazione del client. Browser e applicazioni diversi usano combinazioni diverse di parametri TLS quando stabiliscono connessioni HTTPS, e queste differenze formano una sorta di «impronta a livello di rete».

JA4 è una versione migliorata di JA3 che risolve la sensibilità di JA3 ai cambi di ordine e distingue meglio le implementazioni leggermente modificate.

«Doppio ISP» significa solo che il titolare dell'IP è un ISP, non che l'IP sia effettivamente usato per una connessione domestica. Ad esempio, l'IP 110.242.68.66 restituito da ping baidu.com appartiene a China Unicom con tipo di ASN ISP, ma in realtà è uno degli IP dei server di Baidu.

Il motore di rilevamento dei server di CleanIP usa DNS inverso, scansione delle porte, analisi dei banner e altre tecniche per identificare i veri IP di server all'interno delle reti ISP, offrendo una classificazione più accurata.

CleanIP combina feed commerciali di informazioni sugli IP, dati di rete pubblici, database di routing, blacklist DNS e dati comportamentali propri. Fonti diverse coprono dimensioni diverse:

• Geolocalizzazione e titolarità dell'ASN
• Rilevamento di proxy, VPN, Tor e proxy residenziali
• Segnalazioni di abuso e presenze in blacklist
• Traffico dell'ASN e profilazione della rete
• Routing BGP e cronologia della registrazione
• Porte aperte e impronte dei servizi
• Honeypot propri e monitoraggio dei comportamenti
• Database di marchi e infrastrutture pubbliche curato manualmente

Quando le fonti di dati non concordano, CleanIP mostra per prima una conclusione spiegabile e mantiene aperto un canale di feedback per correggere i casi anomali.

«Utenti condivisi» è una stima del numero di utenti distinti associati a un indirizzo IP, basata sul monitoraggio e sull'analisi di big data su tutta la rete. Un IP condiviso da molti utenti indica di solito un proxy pubblico o un IP VPN.

Dato l'uso diffuso del NAT nella Cina continentale, un gran numero di utenti finali accede a Internet tramite lo stesso IP pubblico, il che è un comportamento di rete normale. Per questo il sistema non mostra per impostazione predefinita la metrica degli utenti condivisi per gli indirizzi IP della Cina continentale.

Gli indirizzi IP delle connessioni domestiche di solito restano registrati sotto un ASN e un'organizzazione fissi, con poche variazioni. Quando l'ASN storico o l'organizzazione titolare di un IP cambiano spesso, la titolarità è instabile: è ciò che comunemente si chiama un IP «non pulito».

Le tabelle della cronologia dell'ASN e dell'azienda mostrano chiaramente tutte le modifiche registrate per l'IP e aiutano a valutarne la stabilità.

Il modulo di raccolta dati di CleanIP identifica gli IP appartenenti alle CDN più comuni (tra cui Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN e altre). Se sul tuo server usi un reverse proxy e il dominio inoltrato usa una CDN, l'IP del tuo server potrebbe essere identificato come IP CDN.

CleanIP esegue una scansione con connessione TCP su 26 porte comuni dell'IP di destinazione. Oltre a individuare le porte aperte, si occupa di:

• Banner grabbing: identifica il software e la versione specifici in esecuzione sulle porte aperte
• Mappatura CPE: associa il software identificato a identificativi CPE standardizzati
• Inferenza dei tag: deduce il tipo di IP dalle combinazioni di porte e dai dati CPE (ad es. CDN, database, IoT, ecc.)
• Corrispondenza con le vulnerabilità CVE: confronta le versioni software identificate con i database delle vulnerabilità CVE note

CPE (Common Platform Enumeration) è uno schema standardizzato di denominazione del software; ad esempio, cpe:/a:nginx:nginx:1.24.0 rappresenta Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) è l'identificativo standard delle vulnerabilità di sicurezza note: ad esempio, CVE-2024-6387 è una vulnerabilità di esecuzione di codice remoto in OpenSSH. CleanIP confronta automaticamente le versioni software rilevate con le CVE ad alta gravità note.