Veelgestelde vragen (FAQ)

CleanIP deelt IP-typen in op basis van consistentie van eigendom, netwerkdoel en anonimiteitsrisico. De gangbare typen zijn:

Kleuren geven alleen een risicotendens aan, geen absolute conclusie. Het uiteindelijke oordeel hangt nog steeds af van de misbruikgeschiedenis, de reputatie van het ASN en het concrete zakelijke scenario.

Een gangbare aanpak is kijken naar het type ASN-eigenaar. Dat laat echter alleen zien dat het IP-adres eigendom is van een provider — niet dat het ook echt voor een thuisverbinding wordt gebruikt. In China staan bijvoorbeeld de meeste traditionele IDC-server-IP's op naam van de drie grote providers (China Telecom, China Unicom, China Mobile), omdat dat providers zijn, maar die IP's worden in werkelijkheid in datacenterservers gebruikt.

CleanIP combineert het ASN-type, de organisatienaam, reverse DNS, open poorten, servicebanners, proxy-/VPN-signalen en historisch gedrag om dit te beoordelen. Zo zijn twee gevallen te onderscheiden die makkelijk worden verward: datacenter-server-IP's die op naam van een provider staan, en uitgangen van residentiële proxy's die zich als thuisverbinding voordoen.

Native IP is een IP-adres waarvan het registratieland van het bereik overeenkomt met het gekozen land van de geolocatie. Verschillende landen betekenen broadcast. Het registratieland van het bereik is het land in de dagelijkse delegatiebestanden van de vijf RIR's, d.w.z. het land van de houder aan wie het RIR het blok heeft toegewezen — dezelfde basis als het registered country van MaxMind en andere gangbare databases. Alleen als het delegatiebestand een regiocode geeft, vallen we terug op whois en RDAP. Het inetnum-land in whois wordt door de houder zelf ingevuld en bepaalt het oordeel niet. Een afwijkend registratieland van het ASN is een aparte melding over verschillende regio's en verandert dit oordeel nooit. Zowel residentiële netwerken als datacenternetwerken kunnen native IP's gebruiken.

Sommige wereldwijde, multinationale IDC-aanbieders (zoals AWS, GCP en Azure) kopen voor het gemak van beheer grote IP-blokken en broadcasten die in meerdere landen. Dit type IP-adres heet een broadcast-IP.

Wanneer een IP-adres als native is gemarkeerd, hoort het meestal bij een thuisverbinding of een lokale IDC-aanbieder. Wanneer een IP-adres als broadcast wordt getoond, is het meestal geen thuisverbinding en komt het ook niet van een lokale IDC-aanbieder.

CleanIP bepaalt op basis van de registratielocatie of een IP-adres native is. Komt het registratieland overeen met het land van de geolocatie, dan wordt “Native IP” getoond; anders “Broadcast-IP”. In de tabel “Registratiegeschiedenis” hieronder zie je de registratielocatie van het IP-adres en de historische records.

Drie typische oorzaken, gerangschikt op hoe vaak ze voorkomen:

1. Broadcast-IP: het registratieland van het IP-adres verschilt van het land van de geolocatie. Komt veel voor bij multinationale IDC's, cloudproviders, buitenlandse nodes van providers of broadcasting vanuit datacenters. CleanIP markeert dit met de badge Broadcast-IP (geel).
2. Publieke infrastructuur: publieke DNS, CDN's of nodes van wereldwijde cloudplatforms kunnen dezelfde adresblokken in meerdere regio's gebruiken, waardoor geodatabases afhankelijk van de locatie van het meetpunt en het routeringsperspectief verschillende landen of steden kunnen opgeven.
3. Achterstand van geodatabases: nadat een IP-blok van eigenaar is gewisseld, werken verschillende geoproviders in verschillend tempo bij (commerciële geodatabases meestal wekelijks, sommige gratis bronnen maandelijks of trager). Dit trekt na verloop van tijd bij; verouderde data van een minderheid van de bronnen is alleen via kruisvalidatie te herkennen.

CleanIP zet geolocatie-, ASN- en eigendomsgegevens uit meerdere bronnen naast elkaar. Meer consistentie betekent meer betrouwbaarheid; bij een duidelijke afwijking wijst CleanIP eerst op waarschijnlijke oorzaken zoals broadcast-IP's, publieke infrastructuur of achterstand in databases.

CleanIP geeft twee onafhankelijke scores die in tegengestelde richting wijzen — verwar ze niet:

Voor de meeste IP's zijn de twee scores negatief gecorreleerd (een hoge zuiverheidsscore betekent meestal een lagere risicoscore), maar ze zijn niet precies elkaars complement. Ze worden anders berekend: zuiverheid is een samengestelde kwaliteitsscore, terwijl de risicoscore meer gericht is op dreigingen en blokkeerbeslissingen.

De zuiverheidsscore (0–100, hoger is schoner) is een gewogen combinatie van 6 dimensies:

• Vertrouwen in identiteit (20%): consistentie tussen het registratieland van het IP-bereik en het land van de geolocatie, RPKI-validatie, en of het om bekende publieke infrastructuur gaat
• Anonimisering en omzeiling (25%): detectie van proxy / VPN / Tor / residentiële proxy (hoe beter verborgen, hoe groter de aftrek)
• Misbruikgeschiedenis (20%): aantal misbruikmeldingen en hun ouderdom, kruisgevalideerd over meerdere databronnen
• Vermelding op blacklists (15%): 21 DNSBL-bronnen, honeypot-databases (HTTPBL) en lijsten van bekende gecompromitteerde IP's
• Aanvalsgedrag (10%): netwerkbrede aantallen aanvallen, die actieve scans of brute-force-pogingen weerspiegelen
• Lokale reputatie (10%): de eigen reputatiebeoordeling van CleanIP en dreigingsgebeurtenissen in de afgelopen 30 dagen

Cijfertoewijzing:

De score is niet het resultaat van één veld — het is een samengesteld oordeel van zes dimensies die samenwerken: identiteit, anonimiteit, misbruik, blacklists, aanvallen en lokale reputatie.

De risicoscore is een aparte score die losstaat van de zuiverheid (0–100, hoger is gevaarlijker, de omgekeerde richting van zuiverheid). Hij is specifiek bedoeld voor beslissingen in de fraudedetectie over het blokkeren van een IP-adres of het op de blacklist zetten ervan:

Data voor fraudedetectie komt uit honeypotmonitoring, misbruikmeldingen, DNSBL-blacklists, gedragsanalyse en andere multidimensionale bronnen. De risicowaarde van een IP-adres neemt af naarmate de records ouder worden.

Let op: het grote getal op de homepage is de zuiverheidsscore, niet de risicoscore. Een hogere zuiverheid is beter; een hogere risicoscore is gevaarlijker.

De risicoscore hangt niet direct samen met de vraag of een IP-adres een thuisverbinding is. Als een IP-adres van een thuisverbinding eerder is gebruikt voor scans, brute-force-aanvallen, crawlen of uitgaande aanvallen, kan de risicoscore hoog zijn. Omgekeerd kan zelfs een datacenter-IP een lage risicoscore hebben als er geen kwaadaardig gedrag is vastgelegd.

Veelvoorkomende oorzaken van een hoge score bij een thuisverbinding:

• • Historische vervuiling — een vorige gebruiker liet proxy-, crawler- of aanvalsverkeer via dit IP-adres lopen en databronnen hebben dat vastgelegd
• • Markering van het hele prefix — elders in hetzelfde /24-blok zit een kwaadaardig IP-adres en databronnen hebben het hele blok gemarkeerd
• • Gecompromitteerd apparaat — een IoT-apparaat thuis is gehackt en maakt deel uit van een botnet
• • Residentiële proxyclient — op het netwerk draait software voor residentiële proxy's, zoals ProxyScrape of 911

De classificatie van CleanIP op het niveau van IP-blokken is vrij nauwkeurig. Het gebruik van IP-adressen staat echter niet stil — elke dag wisselen grote aantallen IP's van gebruiker. De totale nauwkeurigheid van de data ligt rond de 95%.

Wil je weten of een IP-adres onlangs van gebruiker is gewisseld, kijk dan naar het tijdstip “eerst gezien” in de ASN-gegevens. Zijn de gegevens van dit IP-adres recent, dan kan dat erop wijzen dat het eigendom of de status is veranderd.

De veiligheidsbeoordeling van platforms schat de kans in dat dit IP-adres in verschillende zakelijke scenario's verificatie, beperkingen of blokkades uitlokt. Er wordt rekening gehouden met het IP-type, het anonimiteitsrisico, geografische consistentie, de misbruikgeschiedenis en de tolerantie van het platform. Er zijn drie niveaus:

• Veilig: over het algemeen geschikt voor langdurig gebruik, met een kleine kans op extra verificatie
• Risico: kan af en toe verificatie of beperkingen uitlokken
• Geblokkeerd: grote kans op beperking of blokkade

De veiligheidsbeoordeling van platforms is geen garantie. Accountgeschiedenis, apparaatfingerprint, betaalmethode, regio en toegangsgedrag beïnvloeden allemaal de uiteindelijke uitkomst van de fraudedetectie.

Platforms verschillen in hoe streng hun fraudedetectie is:

• Soepel (YouTube, X/Twitter, Facebook, e-commerce, gaming): letten vooral op Tor, publieke proxy's en ernstig misbruik
• Streng (Netflix, Disney+, TikTok): blokkeren actief datacenter-IP's en VPN's
• Betalingsniveau: gevoeliger voor anonimiseringsdiensten, datacenter-IP's, geografische afwijkingen en ongebruikelijke apparaten
• AI-platforms: vrij gevoelig voor proxy's en datacenter-IP's

Browserfingerprinting verzamelt een reeks kenmerken van browser en apparaat (zoals browserversie, besturingssysteem, schermresolutie, geïnstalleerde lettertypen, tijdzone en Canvas-/WebGL-uitvoer) en combineert die tot een vrijwel unieke identificatie, waarmee hetzelfde apparaat zonder cookies kan worden herkend of gevolgd.

Veelgebruikte fingerprintsignalen zijn onder meer: de User-Agent, schermresolutie/kleurdiepte, tijdzone/taalinstellingen, de renderuitvoer van Canvas/WebGL, verschillen in lettertypemetingen, audiofingerprinting, het aantal hardwarethreads en meer. Ook als je cookies wist of een privévenster gebruikt, kan fingerprinting je nog steeds herkennen.

Een WebRTC-lek ontstaat wanneer het verbindingsproces van WebRTC in de browser (de uitwisseling van ICE-kandidaten) onbedoeld je lokale of echte publieke IP-adres prijsgeeft — zodat een website ook terwijl je een VPN of proxy gebruikt nog steeds je echte IP-adres kan zien.

• Chrome: installeer de extensie “WebRTC Network Limiter” (van Google) of “WebRTC Leak Prevent”
• FirefoxOp de pagina about:config: zet media.peerconnection.enabled op false

JA3-fingerprint is een hash-fingerprint die wordt gemaakt door de velden te analyseren van het Client Hello-bericht dat de client tijdens de TLS-handshake verstuurt (SSL-versie, ciphersuites, extensies, elliptische curves enz.), en die de clientimplementatie uniek identificeert. Verschillende browsers en applicaties gebruiken verschillende combinaties van TLS-parameters bij het opzetten van HTTPS-verbindingen, en die verschillen vormen een soort “fingerprint op netwerkniveau”.

JA4 is een verbeterde versie van JA3 die de gevoeligheid van JA3 voor veranderingen in de volgorde oplost, zodat licht aangepaste implementaties beter te onderscheiden zijn.

“Dubbel ISP” betekent alleen dat de eigenaar van het IP-adres een provider is — niet dat het IP-adres echt voor een thuisverbinding wordt gebruikt. Het IP-adres 110.242.68.66 dat wordt teruggegeven door ping baidu.com hoort bijvoorbeeld bij China Unicom met het ASN-type Provider, maar is in werkelijkheid een van de server-IP's van Baidu.

De serverdetectie van CleanIP gebruikt reverse DNS, poortscans, banneranalyse en andere technieken om echte server-IP's binnen providernetwerken te herkennen, voor een nauwkeurigere classificatie.

CleanIP combineert commerciële feeds met IP-informatie, openbare netwerkdata, routeringsdatabases, DNS-blacklists en eigen gedragsdata. Verschillende bronnen dekken verschillende dimensies:

• Geolocatie en ASN-eigendom
• Detectie van proxy's, VPN's, Tor en residentiële proxy's
• Misbruikmeldingen en blacklistvermeldingen
• ASN-verkeer en netwerkprofilering
• BGP-routering en registratiegeschiedenis
• Open poorten en servicefingerprints
• Eigen honeypots en gedragsmonitoring
• Handmatig bijgehouden database van merken en publieke infrastructuur

Als databronnen het oneens zijn, toont CleanIP bij voorkeur een verklaarbare conclusie en houdt een feedbackkanaal voor gebruikers open om afwijkende gevallen te corrigeren.

“Gedeelde gebruikers” is een schatting van het aantal verschillende gebruikers dat aan een IP-adres is gekoppeld, op basis van netwerkbrede monitoring en analyse van big data. Een IP-adres dat door veel gebruikers wordt gedeeld, wijst meestal op een publiek proxy- of VPN-IP.

Omdat NAT op het Chinese vasteland breed wordt toegepast, gaat een groot aantal eindgebruikers via hetzelfde publieke IP-adres het internet op; dat is normaal netwerkgedrag. Daarom toont het systeem de metriek “gedeelde gebruikers” standaard niet voor IP-adressen op het Chinese vasteland.

IP-adressen van thuisverbindingen blijven meestal geregistreerd onder een vast ASN en een vaste organisatie, en veranderen weinig. Wanneer het historische ASN of de eigenaarsorganisatie van een IP-adres vaak wisselt, wijst dat op een onstabiele eigendomssituatie — zo'n IP-adres wordt vaak “niet schoon” genoemd.

In de tabellen met ASN-geschiedenis en bedrijfsgeschiedenis zie je duidelijk alle wijzigingen voor het IP-adres, wat helpt om de stabiliteit ervan te beoordelen.

De dataverzamelingsmodule van CleanIP herkent IP's van gangbare CDN's (onder meer Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN en andere). Draai je een reverse proxy op je server en gebruikt het geproxyde domein een CDN, dan kan het IP-adres van je server als CDN-IP worden herkend.

CleanIP voert een TCP-verbindingsscan uit op 26 gangbare poorten van het doel-IP. Naast het vinden van open poorten doet de scan ook het volgende:

• Banner grabbing: herkent de specifieke software en versie die op open poorten draait
• CPE-mapping: koppelt herkende software aan gestandaardiseerde CPE-identificaties
• Afleiden van tags: leidt het IP-type af uit poortcombinaties en CPE-gegevens (bijv. CDN, database, IoT enz.)
• Matching met CVE-kwetsbaarheden: vergelijkt herkende softwareversies met bekende databases van CVE-kwetsbaarheden

CPE (Common Platform Enumeration) is een gestandaardiseerd naamgevingsschema voor software; zo staat cpe:/a:nginx:nginx:1.24.0 voor Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) is de standaardidentificatie voor bekende beveiligingskwetsbaarheden — CVE-2024-6387 is bijvoorbeeld een kwetsbaarheid voor het op afstand uitvoeren van code in OpenSSH. CleanIP vergelijkt gescande softwareversies automatisch met bekende CVE's met een hoge ernst.