よくある質問（FAQ）

CleanIPはIPタイプを、帰属の一貫性・ネットワークの用途・匿名性のリスクに基づいて分類しています。主なタイプは次のとおりです：

色はリスクの傾向を示すだけで、絶対的な結論ではありません。最終的な判断には、不正利用の履歴、ASNの評判、具体的な利用シーンをあわせて考慮する必要があります。

一般的な方法は、ASNの所有者タイプを確認することです。ただし、これはIPの所有者がISPであることを示すにすぎず、そのIPが実際に家庭用ブロードバンドで使われていることを意味するわけではありません。たとえば中国では、従来型IDCのサーバーIPの多くが3大キャリア（China Telecom、China Unicom、China Mobile）の名義で登録されています。これらのキャリアはISPですが、こうしたIPは実際にはデータセンターのサーバーで使われています。

CleanIPは、ASNタイプ、組織名、逆引きDNS、開放ポート、サービスバナー、プロキシ / VPNのシグナル、過去の挙動を組み合わせて判定します。これにより、混同しやすい2つのケース、つまりキャリア名義のデータセンターのサーバーIPと、家庭用ブロードバンドを装ったレジデンシャルプロキシの出口を見分けられます。

ネイティブIPとは、IPアドレス帯の登録国が、現在選択している位置情報の国と一致するIPを指します。両者が異なる場合はブロードキャストIPと表示します。アドレス帯の登録国とは、5つのRIRが毎日公開する割り当てファイル（delegation file）に記載された国、つまりRIRがそのブロックを割り当てた保有者の国で、MaxMindの登録国など主要データベースと同じ基準です。割り当てファイルに地域コードしかない場合に限り、whoisとRDAPの登録情報にフォールバックします。whoisのinetnumにあるcountryは保有者が自ら記入するもので、判定の根拠にはしません。ASNの登録国が異なる場合は、クロスリージョンとして別途注意を表示するだけで、ネイティブ / ブロードキャストの判定は変わりません。家庭用ブロードバンドとデータセンターのネットワークのどちらも、ネイティブIPを使うことがあります。

AWS、GCP、Azureなど一部のグローバルな多国籍IDC事業者は、管理しやすくするために大きなIPブロックを購入し、複数の国にブロードキャストしています。このようなIPはブロードキャストIPと呼ばれます。

IPがネイティブとマークされている場合、通常そのIPは家庭用ブロードバンドか現地IDC事業者のものです。ブロードキャストと表示される場合、通常は家庭用ブロードバンドでも現地IDC事業者のものでもないことを示します。

CleanIPは、IPの登録地にもとづいてネイティブIPかどうかを判定します。登録国と位置情報上の国が一致すれば「ネイティブIP」、一致しなければ「ブロードキャストIP」と表示します。下の「登録地の履歴」表では、IPの登録地とその履歴を確認できます。

よくある理由は次の3つです（多い順）：

1. ブロードキャストIP：IPの登録国と位置情報上の国が異なります。多国籍IDC、クラウド事業者、キャリアの海外ノード、データセンターのブロードキャストでよく見られます。CleanIPではこれをブロードキャストIPの黄色いバッジで示します。
2. 公共インフラ：パブリックDNS、CDN、グローバルなクラウドプラットフォームのノードは、複数の地域で同じアドレスブロックを使うことがあります。そのため位置情報データベースは、プローブの位置やルーティングの視点によって異なる国や都市を報告することがあります。
3. 位置情報データベースの更新遅れ：IPブロックの所有者が変わった後、位置情報プロバイダーごとに更新の速さが異なります（商用の位置情報データベースは通常毎週、一部の無料ソースは毎月かそれ以上の間隔で更新）。時間がたてば収束していきますが、一部のソースに残る古いデータを見分けるにはクロス検証が必要です。

CleanIPは、複数のソースから得た位置情報、ASN、ネットワークの帰属データを並べて比較します。一致度が高いほど信頼度は高くなります。明らかな食い違いがある場合は、ブロードキャストIP、公共インフラ、データベースの更新遅れなど、考えられる原因を優先して示します。

CleanIPは2つの独立したスコアを提示しています。向きが逆なので、混同しないようご注意ください：

ほとんどのIPでは、2つのスコアは負の相関を示します（クリーン度が高いほど、通常リスクスコアは低くなります）。ただし、正確に相補的な関係ではありません。算出の基礎が異なり、クリーン度は総合的な品質スコア、リスクスコアは脅威やブロックの判断により重点を置いたものです。

クリーン度スコア（0–100、高いほどクリーン）は、次の6つの項目を加重して算出します：

• 身元の信頼性（20%）：IPアドレス帯の登録国と位置情報の国の一致、RPKI検証、既知の公共インフラかどうか
• 匿名化・回避（25%）：プロキシ / VPN / Tor / レジデンシャルプロキシの検出（秘匿性が高いほど減点が大きい）
• 不正利用の履歴（20%）：不正利用レポートの件数と経過日数、複数データソースによるクロス検証
• ブラックリスト掲載（15%）：21のDNSBLソース、ハニーポットデータベース（HTTPBL）、既知の侵害済みIPリスト
• 攻撃的な挙動（10%）：ネットワーク全体での攻撃回数（能動的なスキャンや総当たり攻撃の記録を反映）
• 独自の評判（10%）：CleanIP独自の評判評価と、過去30日間の脅威イベント

グレード区分:

スコアは単一の項目から決まるものではなく、身元、匿名性、不正利用、ブラックリスト、攻撃、独自の評判という6つの項目が組み合わさって形成される総合的な判断です。

リスクスコアは、クリーン度とは独立した別のスコア（0–100、高いほど危険で、クリーン度とは向きが逆）です。IPをブロックするか、ブラックリストに入れるかといった、業務上のリスク管理の判断に特化しています：

リスク管理のデータは、ハニーポットによる監視、不正利用レポート、DNSBLのブラックリスト、行動分析など、多面的なソースから得ています。IPのリスク値は、リスク管理の記録が古くなるにつれて減衰します。

注意：トップページの大きな数字はクリーン度スコアで、リスクスコアではありません。クリーン度は高いほど良く、リスクスコアは高いほど危険です。

リスクスコアは、IPが家庭用ブロードバンドかどうかとは直接関係しません。家庭用ブロードバンドのIPでも、過去にスキャン、総当たり攻撃、クローリング、外部への攻撃に使われていれば、リスクスコアが高くなることがあります。逆に、データセンターのIPでも、悪意ある行動の記録がなければリスクスコアは低くなり得ます。

家庭用ブロードバンドでスコアが高くなる主な理由：

• • 過去の汚染：以前の利用者がこのIPでプロキシ、クローラー、攻撃のトラフィックを流しており、データソースにその記録が残っている
• • プレフィックス単位のフラグ付け：同じ/24ブロック内の別の場所に悪意あるIPがあり、データソースがブロック全体にフラグを付けた
• • デバイスの侵害：自宅のIoTデバイスが侵害され、ボットネットに組み込まれた
• • レジデンシャルプロキシのクライアント：ネットワーク内でProxyScrapeや911などのレジデンシャルプロキシソフトウェアが動作している

CleanIPのIPブロック単位の分類は、比較的高い精度があります。ただし、IPアドレスの利用状況は固定的ではなく、毎日大量のIPで利用者や所有者が変わっています。データ全体の精度はおおむね95%前後です。

IPが最近変わったかどうかを確認するには、ASNデータの「初回観測」の日時を見てください。このIPのデータが最近のものであれば、所有者や状態が変わった可能性があります。

プラットフォーム安全性評価は、このIPがさまざまな利用シーンで認証の要求、制限、ブロックを受ける確率を推定するものです。IPタイプ、匿名性のリスク、地理的な一貫性、不正利用の履歴、プラットフォームの許容度を考慮します。評価は次の3段階に分かれます：

• 安全（Safe）：一般的に長期利用に向いており、追加の認証を求められる確率は低い
• リスク（Risk）：ときどき認証や制限の対象になることがある
• ブロック（Block）：制限やアカウント停止を受ける可能性が高い

プラットフォーム安全性評価は結果を保証するものではありません。アカウントの履歴、デバイスのフィンガープリント、支払い方法、地域、アクセス時の挙動のすべてが、最終的なリスク管理の結果に影響します。

プラットフォームによって、リスク管理の厳しさは異なります：

• 寛容型（YouTube、X/Twitter、Facebook、EC、ゲーム）：主にTor、公開プロキシ、深刻な不正利用を警戒
• 厳格型（Netflix、Disney+、TikTok）：データセンターのIPやVPNを積極的にブロック
• 決済グレード：匿名化サービス、データセンターのIP、地域の不一致、異常なデバイスにより敏感
• AIプラットフォーム：プロキシやデータセンターのIPに比較的敏感

ブラウザーフィンガープリントとは、ブラウザーや端末の一連の属性（ブラウザーのバージョン、OS、画面解像度、インストール済みフォント、タイムゾーン、Canvas / WebGLの出力など）を収集し、組み合わせてほぼ一意の識別子を作る手法です。Cookieを使わずに同じ端末を識別・追跡するために使われます。

代表的なフィンガープリントのシグナルには、User-Agent、画面解像度 / 色深度、タイムゾーン / 言語設定、Canvas / WebGLの描画出力、フォント計測の差異、オーディオフィンガープリント、ハードウェアの並列度などがあります。Cookieを削除したりプライベートウィンドウを使ったりしても、フィンガープリントによって識別されてしまいます。

WebRTCリークとは、ブラウザーのWebRTC接続処理（ICE候補の交換）で、ローカルIPアドレスや実際のグローバルIPアドレスが意図せず露出してしまう現象です。そのため、VPNやプロキシを使っていても、接続先のサイトに実際のIPが見えてしまうことがあります。

• Chrome：拡張機能「WebRTC Network Limiter」（Google製）または「WebRTC Leak Prevent」をインストール
• Firefox：about:configページでmedia.peerconnection.enabledを次の値に設定：false

JA3フィンガープリントとは、TLSハンドシェイク中にクライアントが送信するClient Helloメッセージのフィールド（SSLバージョン、暗号スイート、拡張、楕円曲線など）を解析して生成されるハッシュ形式のフィンガープリントで、クライアントの実装を一意に識別します。ブラウザーやアプリケーションごとにHTTPS接続時のTLSパラメーターの組み合わせが異なり、その違いが一種の「ネットワーク層のフィンガープリント」になります。

JA4はJA3の改良版で、並び順の変化に左右されやすいというJA3の問題を解消し、わずかに改変された実装もより正確に区別できます。

「デュアルISP」は、そのIPの所有者がISPであることを示すだけで、IPが実際に家庭用ブロードバンドで使われていることを意味するわけではありません。たとえば、IP 110.242.68.66はping baidu.com で返されるIPで、China Unicomに属しASNタイプもISPですが、実際にはBaiduのサーバーIPです。

CleanIPのサーバー検出エンジンは、逆引きDNS、ポートスキャン、バナー分析などの手法で、ISPネットワーク内で実際にサーバーとして使われているIPを特定し、より正確な分類を行います。

CleanIPは、商用のIPインテリジェンスフィード、公開ネットワークデータ、ルーティングデータベース、DNSブラックリスト、独自の行動データを組み合わせています。データソースごとに担当する項目が異なります：

• 位置情報とASNの帰属
• プロキシ・VPN・Tor・レジデンシャルプロキシの検出
• 不正利用の報告とブラックリストの記録
• ASNのトラフィックとネットワークのプロファイリング
• BGPルーティングと登録地の履歴
• 開放ポートとサービスのフィンガープリント
• 自社運用のハニーポットと行動監視
• 手動で管理しているブランド・公共インフラのデータベース

データソース間で結果が食い違う場合、CleanIPは説明可能な結論を優先して表示し、異常なサンプルを訂正できるようユーザーからのフィードバック窓口を設けています。

「共有ユーザー数」は、ネットワーク全体のビッグデータ監視・分析に基づいて、そのIPアドレスに関連付けられた個別ユーザーの数を推定した値です。多くのユーザーで共有されているIPは、通常、公開プロキシまたはVPNのIPであることを示します。

中国本土ではNATが広く使われており、多数のエンドユーザーが同じグローバルIPを通じてインターネットにアクセスしていますが、これは正常なネットワークの挙動です。そのため、中国本土のIPアドレスについては、既定で共有ユーザー数の指標を表示しません。

家庭用ブロードバンドのIPアドレスは通常、特定のASNと組織に固定的に登録されており、変更されることはあまりありません。IPの過去のASNや所有組織が頻繁に変わっている場合は帰属が不安定であることを示しており、一般に「クリーンでない」IPと呼ばれます。

ASN履歴と企業履歴の表では、そのIPのすべての変更記録をはっきり確認でき、IPの安定性を判断するのに役立ちます。

CleanIPのデータ収集モジュールは、主要なCDN（Cloudflare、Akamai、Tencent Cloud CDN、Alibaba Cloud CDNなど）に属するIPを識別します。サーバーでリバースプロキシを運用していて、プロキシ先のドメインがCDNを使っている場合、そのサーバーのIPがCDNのIPとして識別されることがあります。

CleanIPは対象のIPに対して、よく使われる26個のポートへのTCP接続スキャンを実行します。開放ポートを見つけるだけでなく、次のことも行います：

• バナー取得：開放ポートで稼働している具体的なソフトウェアとバージョンを特定します
• CPEマッピング：特定したソフトウェアを標準化されたCPE識別子に対応付けます
• タグ推定：ポートの組み合わせとCPEデータからIPタイプ（CDN、データベース、IoTなど）を推定します
• CVE脆弱性の照合：特定したソフトウェアのバージョンを既知のCVE脆弱性データベースと照合します

CPE（Common Platform Enumeration） は、ソフトウェアを標準化された形式で命名する仕組みです。たとえば cpe:/a:nginx:nginx:1.24.0 はNginx 1.24.0を表します。

CVE（Common Vulnerabilities and Exposures） は、既知のセキュリティ脆弱性に付けられる標準の識別子です。たとえば、CVE-2024-6387はOpenSSHのリモートコード実行の脆弱性です。CleanIPは、スキャンで検出したソフトウェアのバージョンを、既知の深刻度の高いCVEと自動的に照合します。