1 IP 기초
CleanIP는 IP 유형을 귀속 일관성, 네트워크 용도, 익명성 위험에 따라 분류합니다. 주요 유형은 다음과 같습니다:
| 유형 | 위험 색상 | 의미 | 주요 신호 |
|---|---|---|---|
| 네이티브 IP | 낮은 위험 | IP 대역의 등록 국가와 위치 정보상 국가가 일치 | 가정용 브로드밴드, 현지 ISP, 현지 IDC에서 흔함 |
| 브로드캐스트 IP | 중간 위험 | IP 대역 등록 국가와 위치 정보상 국가가 다름 | 다국적 클라우드 업체나 해외 데이터센터 브로드캐스트에서 흔함 |
| IDC / 데이터센터 | 중간 위험 | VPS, 전용 서버, 클라우드 서버, 호스팅 업체 네트워크 | 서버 업무에 적합하며, 주거용 출구와는 다름 |
| 기업 / 교육 / 정부 네트워크 | 낮음 또는 특수 | 기업 전용선, 학교, 연구 기관, 공공 부문 네트워크 | 주거용도 아니고 일반 데이터센터도 아님 — 상황별로 판단 필요 |
| 모바일 IP | 낮은 위험 | 4G / 5G 셀룰러 네트워크 출구 | CGNAT 및 잦은 IP 변경이 있을 수 있음 |
| 공용 DNS / CDN | 참고용 | 공용 리졸버, 루트 DNS, CDN 엣지 인프라 | 일반 사용자 출구로 평가하지 않음 |
| 주거용 프록시 | 중간~높은 위험 | 실제 주거용 브로드밴드가 프록시 네트워크를 통해 사용됨 | 소유 정보는 주거용으로 보이지만 동작은 프록시와 같음 |
| VPN / 프록시 / Tor | 높은 위험 | 상용 VPN, 공개 프록시, 익명 네트워크 출구 | 계정, 결제, 구독 서비스는 이 경우 보통 더 민감함 |
색상은 위험 경향만 나타낼 뿐 절대적인 결론이 아닙니다. 최종 판단은 악용 이력, ASN 평판, 구체적인 비즈니스 상황을 함께 고려해야 합니다.
일반적인 방법은 ASN 소유자 유형을 확인하는 것입니다. 하지만 이는 IP의 소유자가 ISP라는 사실만 보여 줄 뿐, 해당 IP가 실제로 가정용 브로드밴드에 사용된다는 뜻은 아닙니다. 예를 들어 중국의 전통적인 IDC 서버 IP는 대부분 3대 통신사(China Telecom, China Unicom, China Mobile) 명의로 등록되어 있습니다. 이들 통신사는 ISP이지만, 이러한 IP는 실제로 데이터센터 서버에서 사용됩니다.
CleanIP는 ASN 유형, 조직 이름, 역방향 DNS, 열린 포트, 서비스 배너, 프록시/VPN 신호, 과거 행위를 종합해 판단합니다. 이를 통해 혼동하기 쉬운 두 가지 경우, 즉 통신사 명의로 등록된 데이터센터 서버 IP와 가정용 브로드밴드로 위장한 주거용 프록시 출구를 구분할 수 있습니다.
네이티브 IP는 IP 대역 등록 국가가 현재 선택된 위치 정보상 국가와 일치하는 IP를 말하며, 두 국가가 다르면 브로드캐스트로 봅니다. IP 대역 등록 국가는 5대 RIR의 일일 할당 파일에 기재된 국가, 즉 RIR이 해당 주소 블록을 할당한 보유자의 국가로, MaxMind의 등록 국가 등 주요 데이터베이스와 같은 기준입니다. 할당 파일에 지역 코드만 있는 경우에만 whois와 RDAP로 대체합니다. whois의 inetnum country 값은 보유자가 직접 입력하므로 판정 근거로 사용하지 않습니다. ASN 등록 국가가 다른 경우에는 교차 지역 안내만 별도로 표시하며, 이 판정은 바뀌지 않습니다. 주거용 네트워크와 데이터센터 네트워크 모두 네이티브 IP를 사용할 수 있습니다.
AWS, GCP, Azure 등 일부 글로벌 다국적 IDC 업체는 관리 편의를 위해 큰 IP 블록을 구매해 여러 국가로 브로드캐스트합니다. 이러한 IP를 브로드캐스트 IP라고 합니다.
| 구분 | 의미 | 대표적인 예 |
|---|---|---|
| 네이티브 IP | IP의 등록 국가와 위치 정보상 주소 국가가 일치 | 가정용 브로드밴드, 현지 기업 네트워크, 현지 IDC |
| 브로드캐스트 IP | 그 외 모든 경우: 다국적 IDC, 애니캐스트 노드, 데이터 누락 등 | AWS / GCP / Azure 다국적 노드, Cloudflare 애니캐스트, DNSPod 해외 PoP 등 |
IP가 네이티브 IP로 표시되면 일반적으로 해당 IP가 가정용 브로드밴드이거나 현지 IDC 업체의 IP라는 뜻입니다. IP가 브로드캐스트 IP로 표시되면 일반적으로 가정용 브로드밴드도 아니고 현지 IDC 업체의 IP도 아니라는 뜻입니다.
CleanIP는 IP의 등록 위치를 기준으로 네이티브 IP 여부를 판단합니다. 등록 국가가 위치 정보상 주소 국가와 일치하면 ‘네이티브 IP’로, 그렇지 않으면 ‘브로드캐스트 IP’로 표시합니다. 아래 ‘등록 위치 이력’ 표에서 IP의 등록 위치와 과거 기록을 확인할 수 있습니다.
대표적인 원인은 세 가지이며, 발생 빈도순으로 정리하면 다음과 같습니다:
- 브로드캐스트 IP: IP의 등록 국가와 위치 정보상 주소 국가가 다릅니다. 다국적 IDC, 클라우드 업체, 통신사 해외 노드, 데이터센터 브로드캐스트에서 흔히 나타납니다. CleanIP는 이를 브로드캐스트 IP 노란색 배지로 표시합니다.
- 공용 인프라: 공용 DNS, CDN 또는 글로벌 클라우드 플랫폼 노드는 여러 지역에서 같은 주소 블록을 사용할 수 있어, 위치 데이터베이스가 프로브 위치와 라우팅 관점에 따라 서로 다른 국가나 도시를 보고할 수 있습니다.
- 위치 데이터베이스 지연: IP 블록의 소유권이 바뀐 뒤 위치 정보 제공업체마다 업데이트 속도가 다릅니다(상용 위치 데이터베이스는 보통 매주, 일부 무료 소스는 매월 또는 그보다 느리게 업데이트됩니다). 이러한 차이는 시간이 지나면서 수렴하는 경향이 있으며, 일부 소스의 오래된 데이터는 교차 검증으로 식별해야 합니다.
CleanIP는 여러 소스의 위치 정보, ASN, 네트워크 소유 데이터를 나란히 비교합니다. 일관성이 높을수록 신뢰도가 높으며, 뚜렷한 불일치가 있으면 브로드캐스트 IP, 공용 인프라, 데이터베이스 지연 등 가능성이 높은 원인을 우선 표시합니다.
2 점수와 위험 관리
CleanIP는 서로 독립된 두 가지 점수를 제공합니다. 두 점수는 방향이 서로 반대이므로 혼동하지 마세요:
| 점수 | 범위 | 방향 | 표시 위치 |
|---|---|---|---|
| 청정도 점수 | 0–100 + A+/A/B/C/D/F 등급 | 높을수록 좋음 | 홈페이지의 큰 숫자, IP 카드 상단 |
| 위험 점수 | 0–100 + 6단계 라벨 | 높을수록 위험 | ‘IP 인텔리전스(위협 지표)’ 카드 |
대부분의 IP에서 두 점수는 음의 상관관계를 보입니다(청정도 점수가 높으면 보통 위험 점수가 낮습니다). 다만 정확히 상호 보완적인 관계는 아닙니다. 계산 방식이 다르기 때문인데, 청정도는 종합적인 품질 점수이고 위험 점수는 위협 판단과 차단 결정에 더 중점을 둡니다.
청정도 점수(0–100, 높을수록 깨끗함)는 다음 6개 항목을 가중 합산해 산출합니다:
- 신원 신뢰성(20%): IP 대역 등록 국가와 위치 정보상 국가의 일치 여부, RPKI 검증, 알려진 공용 인프라 여부
- 익명성 회피(25%): 프록시 / VPN / Tor / 주거용 프록시 탐지(은닉성이 높을수록 감점이 큼)
- 악용 이력(20%): 악용 신고 건수와 신고 경과 일수, 여러 데이터 소스 간 교차 검증
- 블랙리스트 등재 현황(15%): DNSBL 소스 21개, 허니팟 데이터베이스(HTTPBL), 알려진 침해 IP 목록
- 공격 행위(10%): 네트워크 전반의 공격 횟수로, 능동적 스캔이나 무차별 대입 공격 기록을 반영
- 자체 평판(10%): CleanIP 자체 평판 평가 및 최근 30일간의 위협 이벤트
등급 기준:
점수는 단일 필드의 결과가 아니라 신원, 익명성, 악용, 블랙리스트, 공격, 자체 평판의 6개 항목이 함께 작용해 만들어지는 종합 판단입니다.
위험 점수는 청정도와 별개인 독립 점수(0–100, 높을수록 위험, 청정도와 반대 방향)입니다. IP를 차단하거나 블랙리스트에 올릴지 판단하는 비즈니스 위험 관리 결정에 특화되어 있습니다:
위험 관리 데이터는 허니팟 모니터링, 악용 신고, DNSBL 블랙리스트, 행위 분석 등 다양한 소스에서 수집됩니다. IP의 위험 값은 위험 관리 기록이 오래될수록 점차 감소합니다.
참고: 홈페이지의 큰 숫자는 위험 점수가 아니라 청정도 점수입니다. 청정도는 높을수록 좋고, 위험 점수는 높을수록 위험합니다.
위험 점수는 IP가 가정용 브로드밴드인지 여부와 직접적인 관련이 없습니다. 가정용 브로드밴드 IP라도 이전에 스캔, 무차별 대입, 크롤링, 외부 공격 등에 사용된 적이 있다면 위험 점수가 높을 수 있습니다. 반대로 데이터센터 IP라도 악의적인 행위 기록이 없다면 위험 점수가 낮을 수 있습니다.
가정용 브로드밴드에서 점수가 높게 나오는 흔한 원인:
- • 과거 오염 — 이전 사용자가 이 IP에서 프록시, 크롤러 또는 공격 트래픽을 발생시켰고, 데이터 소스에 그 기록이 남아 있음
- • 프리픽스 단위 일괄 표시 — 같은 /24 블록의 다른 위치에 악성 IP가 있어 데이터 소스가 블록 전체를 표시함
- • 기기 침해 — 집 안의 IoT 기기가 침해되어 봇넷에 편입됨
- • 주거용 프록시 클라이언트 — 네트워크에서 ProxyScrape, 911 같은 주거용 프록시 소프트웨어가 실행 중임
CleanIP의 IP 블록 단위 분류는 비교적 높은 정확도를 보입니다. 하지만 IP 주소의 사용 현황은 고정되어 있지 않으며, 매일 많은 IP의 사용 주체가 바뀝니다. 전체 데이터 정확도는 약 95% 수준입니다.
IP의 사용 주체가 최근 바뀌었는지 확인하려면 ASN 데이터의 ‘최초 발견’ 시점을 확인하세요. 이 IP의 데이터가 최근 것이라면 소유권이나 상태가 바뀌었을 수 있습니다.
3 플랫폼 안전 등급
플랫폼 안전 등급은 이 IP가 여러 비즈니스 시나리오에서 인증, 제한 또는 차단을 유발할 확률을 추정합니다. IP 유형, 익명성 위험, 지리적 일관성, 악용 이력, 플랫폼 허용 수준을 함께 고려하며, 등급은 세 단계로 나뉩니다:
- 안전: 일반적으로 장기간 사용에 적합하며, 추가 인증이 발생할 확률이 낮음
- 위험: 가끔 인증이나 제한이 발생할 수 있음
- 차단: 제한되거나 차단될 확률이 높음
플랫폼 안전 등급은 결과를 보장하지 않습니다. 계정 이력, 기기 핑거프린트, 결제 수단, 지역, 접속 행위 모두 최종 위험 관리 결과에 영향을 줍니다.
플랫폼마다 위험 관리의 엄격도가 다릅니다:
- 관대한 플랫폼(YouTube, X/Twitter, Facebook, 전자상거래, 게임): 주로 Tor, 공개 프록시, 심각한 악용을 주시함
- 엄격한 플랫폼(Netflix, Disney+, TikTok): 데이터센터 IP와 VPN을 적극적으로 차단함
- 결제 수준 플랫폼: 익명 서비스, 데이터센터 IP, 지역 불일치, 비정상 기기에 더 민감함
- AI 플랫폼: 프록시와 데이터센터 IP에 비교적 민감함
4 탐지 기술
브라우저 핑거프린팅은 브라우저와 기기의 여러 속성(브라우저 버전, 운영체제, 화면 해상도, 설치된 글꼴, 시간대, Canvas/WebGL 출력 등)을 수집하고 조합해 거의 고유한 식별자를 만드는 기술로, 쿠키 없이도 같은 기기를 식별하거나 추적하는 데 사용됩니다.
대표적인 핑거프린트 신호로는 User-Agent, 화면 해상도/색 심도, 시간대/언어 설정, Canvas/WebGL 렌더링 출력, 글꼴 측정 차이, 오디오 핑거프린트, 하드웨어 동시성 등이 있습니다. 쿠키를 지우거나 시크릿 창을 사용해도 핑거프린팅으로 여전히 사용자를 식별할 수 있습니다.
WebRTC 유출은 브라우저의 WebRTC 연결 과정(ICE 후보 교환)에서 로컬 IP 주소나 실제 공인 IP 주소가 의도치 않게 노출되는 현상입니다. 즉, VPN이나 프록시를 사용 중이더라도 대상 웹사이트가 실제 IP를 볼 수 있습니다.
- Chrome: WebRTC 유출 방지 확장 프로그램인 ‘WebRTC Network Limiter’(Google 제공) 또는 ‘WebRTC Leak Prevent’를 설치하세요
- Firefox:
about:config페이지에서media.peerconnection.enabled값을 다음으로 설정하세요:false
JA3 핑거프린트는 TLS 핸드셰이크 과정에서 클라이언트가 보내는 Client Hello 메시지의 필드(SSL 버전, 암호화 스위트, 확장, 타원 곡선 등)를 분석해 생성하는 해시 핑거프린트로, 클라이언트 구현을 고유하게 식별합니다. 브라우저와 애플리케이션마다 HTTPS 연결을 맺을 때 사용하는 TLS 매개변수 조합이 다르며, 이러한 차이가 일종의 ‘네트워크 계층 핑거프린트’를 형성합니다.
JA4는 JA3의 개선 버전으로, 순서 변경에 민감한 JA3의 문제를 해결해 약간 수정된 구현도 더 잘 구별할 수 있습니다.
‘이중 ISP’는 IP의 소유자가 ISP라는 뜻일 뿐, 해당 IP가 실제로 가정용 브로드밴드에 사용된다는 의미는 아닙니다. 예를 들어 IP 110.242.68.66은 ping baidu.com 명령으로 반환되는 IP로, China Unicom 소속이고 ASN 유형도 ISP이지만 실제로는 Baidu의 서버 IP입니다.
CleanIP의 서버 탐지 엔진은 역방향 DNS, 포트 스캔, 배너 분석 등의 기법으로 ISP 네트워크 안의 실제 서버 IP를 식별해 더 정확하게 분류합니다.
5 데이터 출처와 기술
CleanIP는 상용 IP 인텔리전스 피드, 공개 네트워크 데이터, 라우팅 데이터베이스, DNS 블랙리스트와 자체 행동 데이터를 종합합니다. 출처마다 담당하는 영역이 다릅니다:
- 위치 정보 및 ASN 소유 정보
- 프록시, VPN, Tor 및 주거용 프록시 탐지
- 악용 신고 및 블랙리스트 기록
- ASN 트래픽 및 네트워크 프로파일링
- BGP 라우팅 및 등록 이력
- 열린 포트 및 서비스 핑거프린트
- 자체 허니팟 및 행동 모니터링
- 수동으로 관리하는 브랜드 및 공공 인프라 데이터베이스
데이터 출처 간에 결과가 엇갈리면 CleanIP는 설명 가능한 결론을 우선 표시하고, 이상 샘플을 바로잡을 수 있도록 사용자 피드백 창구를 열어 둡니다.
“공유 사용자 수”는 네트워크 전반의 빅데이터 모니터링과 분석을 바탕으로 해당 IP 주소와 연관된 고유 사용자 수를 추정한 값입니다. 여러 사용자가 공유하는 IP는 보통 공개 프록시 또는 VPN IP임을 의미합니다.
중국 본토에서는 NAT 기술이 널리 사용되어 많은 최종 사용자가 같은 공인 IP로 인터넷에 접속하며, 이는 정상적인 네트워크 동작입니다. 따라서 중국 본토의 IP 주소에는 기본적으로 공유 사용자 수 지표를 표시하지 않습니다.
가정용 브로드밴드의 IP 주소는 보통 고정된 ASN과 조직에 등록된 상태로 유지되며 변경 빈도가 낮습니다. IP의 과거 ASN이나 소유 조직이 자주 바뀐다면 소유 상태가 불안정하다는 뜻이며, 이런 IP를 흔히 “깨끗하지 않은” IP라고 부릅니다.
ASN 이력과 기업 이력 표에서 해당 IP의 모든 변경 기록을 한눈에 확인할 수 있어 IP의 안정성을 판단하는 데 도움이 됩니다.
CleanIP의 데이터 수집 모듈은 주요 CDN(Cloudflare, Akamai, 텐센트 클라우드 CDN, 알리바바 클라우드 CDN 등)에 속한 IP를 식별합니다. 서버에서 리버스 프록시를 운영하고 프록시 대상 도메인이 CDN을 사용하는 경우, 서버 IP가 CDN IP로 식별될 수 있습니다.
6 포트 스캔과 보안
CleanIP는 대상 IP의 주요 포트 26개에 TCP 연결 스캔을 수행합니다. 열린 포트를 찾아낼 뿐 아니라 다음 작업도 수행합니다:
- 배너 그래빙: 열린 포트에서 실행 중인 소프트웨어와 버전을 구체적으로 식별합니다
- CPE 매핑: 식별된 소프트웨어를 표준화된 CPE 식별자에 매핑합니다
- 태그 추론: 포트 조합과 CPE 데이터로 IP 유형을 추론합니다(예: CDN, 데이터베이스, IoT 등)
- CVE 취약점 매칭: 식별된 소프트웨어 버전을 알려진 CVE 취약점 데이터베이스와 대조합니다
CPE(Common Platform Enumeration)는 표준화된 소프트웨어 명명 체계입니다. 예를 들어 cpe:/a:nginx:nginx:1.24.0은 Nginx 1.24.0 버전을 나타냅니다.
CVE(Common Vulnerabilities and Exposures)는 알려진 보안 취약점의 표준 식별 번호입니다. 예를 들어 CVE-2024-6387은 OpenSSH의 원격 코드 실행 취약점입니다. CleanIP는 스캔한 소프트웨어 버전을 알려진 고위험 CVE와 자동으로 대조합니다.