Najczęstsze pytania (FAQ)

CleanIP klasyfikuje typy adresów IP według spójności przynależności, przeznaczenia sieci i ryzyka anonimowości. Najczęstsze typy:

Kolory wskazują jedynie tendencję ryzyka, a nie ostateczny wniosek. Ostateczna ocena zależy od historii nadużyć, reputacji numeru ASN i konkretnego scenariusza biznesowego.

Typowym sposobem jest sprawdzenie typu właściciela numeru ASN. Pokazuje to jednak tylko, że adres IP należy do dostawcy internetu — nie oznacza, że jest faktycznie używany na łączu domowym. Na przykład w Chinach większość tradycyjnych adresów IP serwerów IDC jest zarejestrowana na trzech głównych operatorów (China Telecom, China Unicom, China Mobile), ponieważ są oni dostawcami internetu, ale adresy te są w rzeczywistości używane przez serwery w centrach danych.

CleanIP łączy typ numeru ASN, nazwę organizacji, odwrotny DNS, otwarte porty, banery usług, sygnały proxy/VPN i historię zachowań, aby to rozstrzygnąć. Pomaga to odróżnić dwa łatwe do pomylenia przypadki: adresy IP serwerów w centrach danych zarejestrowane na operatora oraz wyjścia proxy rezydencyjnych podszywające się pod łącza domowe.

Natywne IP to adres IP, którego kraj rejestracji zakresu zgadza się z wybranym krajem geolokalizacji. Różne kraje oznaczają IP broadcast. Kraj rejestracji zakresu to kraj z dziennych plików delegacji pięciu rejestrów RIR, tj. kraj posiadacza, któremu RIR przydzielił blok — to samo kryterium co kraj rejestracji w MaxMind i innych popularnych bazach. Dopiero gdy plik delegacji podaje kod regionu, korzystamy z danych whois i RDAP. Kraj w polu inetnum w whois wpisuje sam posiadacz i nie decyduje on o werdykcie. Inny kraj rejestracji numeru ASN jest osobnym ostrzeżeniem o rozbieżności regionów i nigdy nie zmienia tego werdyktu. Natywne IP mogą występować zarówno w sieciach domowych, jak i w centrach danych.

Niektórzy globalni, międzynarodowi dostawcy IDC (np. AWS, GCP i Azure) kupują duże bloki adresów IP dla łatwiejszego zarządzania i ogłaszają je w wielu krajach. Taki adres IP nazywa się IP broadcast.

Gdy adres IP jest oznaczony jako natywny, zwykle oznacza to, że należy do łącza domowego lub lokalnego dostawcy IDC. Gdy adres IP jest oznaczony jako broadcast, zwykle oznacza to, że nie jest ani łączem domowym, ani adresem lokalnego dostawcy IDC.

CleanIP określa, czy adres IP jest natywny, na podstawie miejsca jego rejestracji. Jeśli kraj rejestracji zgadza się z krajem geolokalizacji, wyświetlamy „Natywne IP”; w przeciwnym razie — „IP broadcast”. W tabeli „Historia rejestracji” poniżej możesz sprawdzić miejsce rejestracji adresu IP i jego historię.

Trzy typowe przyczyny, od najczęstszej:

1. IP broadcast: kraj rejestracji adresu IP różni się od kraju jego geolokalizacji. Typowe dla międzynarodowych IDC, dostawców chmury, zagranicznych węzłów operatorów lub ogłaszania zakresów z centrów danych. CleanIP oznacza to plakietką IP broadcast w kolorze żółtym.
2. Infrastruktura publiczna: publiczne serwery DNS, sieci CDN lub węzły globalnych platform chmurowych mogą używać tych samych bloków adresów w wielu regionach, więc bazy geolokalizacyjne mogą podawać różne kraje lub miasta w zależności od lokalizacji sondy i perspektywy routingu.
3. Opóźnienia w bazach geolokalizacyjnych: po zmianie właściciela bloku adresów IP różni dostawcy danych geolokalizacyjnych aktualizują je w różnym tempie (komercyjne bazy zwykle co tydzień, część darmowych źródeł co miesiąc lub rzadziej). Z czasem dane się wyrównują; nieaktualne dane z nielicznych źródeł trzeba wykrywać weryfikacją krzyżową.

CleanIP porównuje obok siebie dane o geolokalizacji, numerze ASN i przynależności sieci z wielu źródeł. Im większa spójność, tym wyższa wiarygodność; przy wyraźnej rozbieżności CleanIP w pierwszej kolejności wskazuje prawdopodobne przyczyny, takie jak IP broadcast, infrastruktura publiczna czy opóźnienia baz danych.

CleanIP podaje dwa niezależne wyniki o przeciwnych kierunkach — nie myl ich:

W przypadku większości adresów IP oba wyniki są ujemnie skorelowane (wysoki wynik czystości zwykle oznacza niższy wynik ryzyka), ale nie dopełniają się dokładnie. Są obliczane inaczej: czystość to złożona ocena jakości, a wynik ryzyka jest bardziej nastawiony na zagrożenia i decyzje o blokowaniu.

Wynik czystości (0–100, im wyższy, tym czystsze IP) to ważona kombinacja 6 wymiarów:

• Wiarygodność tożsamości (20%): zgodność kraju rejestracji zakresu adresów IP z krajem geolokalizacji, walidacja RPKI oraz to, czy jest to znana infrastruktura publiczna
• Anonimizacja i obchodzenie zabezpieczeń (25%): wykrywanie proxy / VPN / Tor / proxy rezydencyjnych (im lepiej ukryte, tym większe potrącenie)
• Historia nadużyć (20%): liczba zgłoszeń nadużyć i ich wiek, weryfikowane krzyżowo w wielu źródłach danych
• Obecność na czarnych listach (15%): 21 źródeł DNSBL, bazy honeypotów (HTTPBL) i listy znanych przejętych adresów IP
• Zachowania atakujące (10%): liczba ataków w całej sieci, odzwierciedlająca zapisy aktywnego skanowania lub ataków brute force
• Reputacja lokalna (10%): własna ocena reputacji CleanIP i zdarzenia zagrożeń z ostatnich 30 dni

Przypisanie ocen:

Wynik nie pochodzi z jednego pola — to złożona ocena sześciu współdziałających wymiarów: tożsamości, anonimowości, nadużyć, czarnych list, ataków i reputacji lokalnej.

Wynik ryzyka to osobny wynik, niezależny od czystości (0–100, im wyższy, tym groźniej, czyli odwrotnie niż czystość). Służy wyłącznie do decyzji w systemach oceny ryzyka: czy zablokować adres IP lub wpisać go na czarną listę:

Dane systemów antyfraudowych pochodzą z monitorowania honeypotów, zgłoszeń nadużyć, czarnych list DNSBL, analizy zachowań i innych wielowymiarowych źródeł. Wartość ryzyka adresu IP maleje z czasem, w miarę starzenia się zapisów.

Uwaga: duża liczba na stronie głównej to wynik czystości, a nie wynik ryzyka. Wyższa czystość jest lepsza; wyższy wynik ryzyka oznacza większe zagrożenie.

Wynik ryzyka nie jest bezpośrednio związany z tym, czy adres IP należy do łącza domowego. Jeśli adres IP łącza domowego był wcześniej używany do skanowania, ataków brute force, crawlingu lub ataków wychodzących, jego wynik ryzyka może być wysoki. I odwrotnie: nawet adres IP z centrum danych może mieć niski wynik ryzyka, jeśli nie ma zapisów złośliwych działań.

Częste przyczyny wysokiego wyniku na łączu domowym:

• • Historyczne zanieczyszczenie — poprzedni użytkownik tego adresu IP prowadził ruch proxy, crawlerów lub ataków, a źródła danych zachowały ten zapis
• • Oznaczenie całego prefiksu — w tym samym bloku /24 jest złośliwy adres IP, a źródła danych oznaczyły cały blok
• • Przejęte urządzenie — urządzenie IoT w domu zostało przejęte i dołączyło do botnetu
• • Klient proxy rezydencyjnego — w sieci działa oprogramowanie proxy rezydencyjnego, np. ProxyScrape lub 911

Klasyfikacja CleanIP na poziomie bloków adresów IP ma stosunkowo wysoką dokładność. Wykorzystanie adresów IP nie jest jednak stałe — codziennie wiele adresów IP zmienia właściciela. Ogólna dokładność danych wynosi ok. 95%.

Aby sprawdzić, czy adres IP niedawno zmienił właściciela, spójrz na znacznik czasu „pierwsze wystąpienie” w danych numeru ASN. Jeśli dane dla tego adresu IP są świeże, może to oznaczać zmianę jego przynależności lub statusu.

Ocena bezpieczeństwa platform szacuje prawdopodobieństwo, że ten adres IP wywoła weryfikację, ograniczenia lub blokadę w różnych scenariuszach biznesowych. Uwzględnia typ IP, ryzyko anonimowości, spójność geograficzną, historię nadużyć i tolerancję platformy. Oceny dzielą się na trzy poziomy:

• Bezpieczne: zwykle nadaje się do długotrwałego użytku, z niskim prawdopodobieństwem dodatkowej weryfikacji
• Ryzyko: może czasem wywołać weryfikację lub ograniczenia
• Blokada: wysokie prawdopodobieństwo ograniczenia lub zablokowania konta

Ocena bezpieczeństwa platform nie jest gwarancją. Na ostateczną ocenę ryzyka przez platformę wpływają też historia konta, fingerprint urządzenia, metoda płatności, region i sposób korzystania.

Systemy antyfraudowe platform różnią się rygorystycznością:

• Łagodne (YouTube, X/Twitter, Facebook, e-commerce, gry): zwracają uwagę głównie na Tor, publiczne proxy i poważne nadużycia
• Rygorystyczne (Netflix, Disney+, TikTok): aktywnie blokują adresy IP z centrów danych i VPN
• Poziom płatniczy: bardziej wrażliwe na usługi anonimizujące, adresy IP z centrów danych, niezgodności geograficzne i nietypowe urządzenia
• Platformy AI: dość wrażliwe na proxy i adresy IP z centrów danych

Fingerprinting przeglądarki zbiera szereg atrybutów przeglądarki i urządzenia (np. wersję przeglądarki, system operacyjny, rozdzielczość ekranu, zainstalowane czcionki, strefę czasową, wynik Canvas/WebGL) i łączy je w niemal unikalny identyfikator, który pozwala rozpoznać lub śledzić to samo urządzenie bez plików cookie.

Typowe sygnały fingerprintu to: User-Agent, rozdzielczość ekranu/głębia kolorów, strefa czasowa/ustawienia języka, wynik renderowania Canvas/WebGL, różnice w pomiarze czcionek, fingerprint audio, liczba wątków sprzętowych i inne. Nawet po wyczyszczeniu plików cookie lub w oknie prywatnym fingerprinting nadal może Cię rozpoznać.

Wyciek WebRTC występuje, gdy proces nawiązywania połączenia WebRTC w przeglądarce (wymiana kandydatów ICE) niezamierzenie ujawnia Twój lokalny lub prawdziwy publiczny adres IP — co oznacza, że nawet przy użyciu VPN lub proxy docelowa witryna może zobaczyć Twoje prawdziwe IP.

• Chrome: zainstaluj rozszerzenie „WebRTC Network Limiter” (od Google) lub „WebRTC Leak Prevent”
• FirefoxNa stronie about:config ustaw media.peerconnection.enabled na false

Fingerprint JA3 to skrót (hash) generowany na podstawie pól komunikatu Client Hello wysyłanego przez klienta podczas uzgadniania połączenia TLS (wersja SSL, zestawy szyfrów, rozszerzenia, krzywe eliptyczne itp.), jednoznacznie identyfikujący implementację klienta. Różne przeglądarki i aplikacje używają różnych kombinacji parametrów TLS przy nawiązywaniu połączeń HTTPS, a te różnice tworzą swego rodzaju „fingerprint warstwy sieciowej”.

JA4 to ulepszona wersja JA3, która eliminuje wrażliwość JA3 na zmiany kolejności i pozwala lepiej rozróżniać lekko zmodyfikowane implementacje.

„Podwójny ISP” oznacza tylko, że właścicielem adresu IP jest dostawca internetu — nie znaczy to, że adres jest faktycznie używany na łączu domowym. Na przykład adres IP 110.242.68.66 zwrócony przez ping baidu.com należy do China Unicom, a typ jego numeru ASN to ISP, ale w rzeczywistości jest to jeden z adresów IP serwerów Baidu.

Silnik wykrywania serwerów CleanIP wykorzystuje odwrotny DNS, skanowanie portów, analizę banerów i inne techniki, aby rozpoznać rzeczywiste adresy IP serwerów w sieciach dostawców internetu i zapewnić dokładniejszą klasyfikację.

CleanIP łączy komercyjne źródła informacji o adresach IP, publiczne dane sieciowe, bazy routingu, czarne listy DNS i własne dane behawioralne. Różne źródła obejmują różne wymiary:

• Geolokalizacja i przynależność numeru ASN
• Wykrywanie proxy, VPN, Tor i proxy rezydencyjnych
• Zgłoszenia nadużyć i wpisy na czarnych listach
• Ruch numeru ASN i profilowanie sieci
• Routing BGP i historia rejestracji
• Otwarte porty i fingerprinty usług
• Własne honeypoty i monitorowanie zachowań
• Ręcznie prowadzona baza marek i infrastruktury publicznej

Gdy źródła danych się nie zgadzają, CleanIP w pierwszej kolejności pokazuje wniosek, który da się wyjaśnić, i pozostawia otwarty kanał opinii użytkowników, aby korygować nietypowe przypadki.

„Użytkownicy współdzielący” to szacunkowa liczba różnych użytkowników powiązanych z adresem IP, oparta na monitorowaniu i analizie dużych zbiorów danych z całej sieci. Adres IP współdzielony przez wielu użytkowników zwykle wskazuje na publiczne proxy lub adres IP VPN.

Ze względu na powszechne stosowanie NAT w Chinach kontynentalnych wielu użytkowników końcowych łączy się z Internetem przez ten sam publiczny adres IP, co jest normalnym zachowaniem sieci. Dlatego system domyślnie nie pokazuje wskaźnika użytkowników współdzielących dla adresów IP z Chin kontynentalnych.

Adresy IP łączy domowych zwykle pozostają zarejestrowane na stały numer ASN i organizację, a zmiany są rzadkie. Gdy historyczny numer ASN lub organizacja będąca właścicielem adresu IP często się zmienia, wskazuje to na niestabilną przynależność — takie IP potocznie nazywa się „nieczystym”.

Tabele historii numeru ASN i historii firmy pozwalają wyraźnie zobaczyć wszystkie zmiany dotyczące adresu IP, co pomaga ocenić jego stabilność.

Moduł zbierania danych CleanIP rozpoznaje adresy IP należące do popularnych sieci CDN (m.in. Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN). Jeśli na swoim serwerze używasz reverse proxy, a domena za proxy korzysta z CDN, adres IP Twojego serwera może zostać rozpoznany jako adres IP sieci CDN.

CleanIP wykonuje skanowanie połączeń TCP 26 popularnych portów docelowego adresu IP. Oprócz wykrywania otwartych portów również:

• Pobieranie banerów: rozpoznaje konkretne oprogramowanie i jego wersję działające na otwartych portach
• Mapowanie CPE: przypisuje rozpoznanemu oprogramowaniu ustandaryzowane identyfikatory CPE
• Wnioskowanie etykiet: ustala typ IP na podstawie kombinacji portów i danych CPE (np. CDN, baza danych, IoT itp.)
• Dopasowanie podatności CVE: porównuje rozpoznane wersje oprogramowania ze znanymi bazami podatności CVE

CPE (Common Platform Enumeration) to ustandaryzowany schemat nazewnictwa oprogramowania; na przykład cpe:/a:nginx:nginx:1.24.0 oznacza Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) to standardowy identyfikator znanych podatności bezpieczeństwa — na przykład CVE-2024-6387 to podatność OpenSSH umożliwiająca zdalne wykonanie kodu. CleanIP automatycznie porównuje wykryte wersje oprogramowania ze znanymi CVE o wysokiej wadze.