Часто задаваемые вопросы (FAQ)

CleanIP разделяет типы IP по согласованности принадлежности, назначению сети и риску анонимности. Основные типы:

Цвета показывают лишь склонность к риску, а не абсолютный вывод. Окончательное решение по-прежнему зависит от истории жалоб, репутации ASN и конкретного бизнес-сценария.

Распространённый способ — посмотреть на тип владельца ASN. Но он лишь показывает, что IP принадлежит провайдеру, а не то, что адрес реально используется для домашнего интернета. Например, в Китае большинство традиционных серверных IP дата-центров зарегистрированы на трёх крупнейших операторов (China Telecom, China Unicom, China Mobile): раз это провайдеры, то и ASN имеет тип ISP, хотя фактически эти IP стоят на серверах в дата-центрах.

CleanIP сопоставляет тип ASN, название организации, обратный DNS, открытые порты, баннеры сервисов, признаки прокси / VPN и историческое поведение. Это помогает различить два легко путаемых случая: серверные IP дата-центров, зарегистрированные на оператора, и выходные точки резидентных прокси, замаскированные под домашний интернет.

Нативный IP — это IP, у которого страна регистрации диапазона совпадает с выбранной страной геолокации. Если страны разные, IP считается broadcast. Страна регистрации диапазона — это страна из ежедневных файлов делегирования пяти RIR, то есть страна держателя, которому RIR выделил блок; на той же основе строятся страна регистрации MaxMind и другие популярные базы. К whois и RDAP мы обращаемся только тогда, когда в файле делегирования указан код региона. Страну из inetnum в whois держатель заполняет сам, поэтому на вердикт она не влияет. Отличающаяся страна регистрации ASN — это отдельное уведомление о межрегиональном использовании, и на этот вердикт оно никогда не влияет. Нативными могут быть и домашние сети, и сети дата-центров.

Некоторые глобальные международные дата-центры (например, AWS, GCP и Azure) покупают крупные блоки IP ради удобства управления и анонсируют их сразу в нескольких странах. Такие IP называют broadcast IP.

Если IP помечен как нативный, это обычно означает, что он принадлежит домашнему интернету или местному дата-центру. Если же он показан как broadcast, то, как правило, это не домашний интернет и не адрес местного дата-центра.

CleanIP определяет, нативный ли IP, по месту его регистрации. Если страна регистрации совпадает со страной геолокации, отображается «Нативный IP», в остальных случаях — «Broadcast IP». Место регистрации IP и его историю можно посмотреть в таблице «История регистрации» ниже.

Три типичные причины, от самой частой к самой редкой:

1. Broadcast IP: страна регистрации IP отличается от страны его геолокации. Так бывает у международных дата-центров, облачных провайдеров, зарубежных узлов операторов и при анонсах дата-центров в других странах. CleanIP помечает такой случай жёлтым бейджем Broadcast IP.
2. Публичная инфраструктура: публичные DNS, CDN и узлы глобальных облачных платформ могут использовать одни и те же блоки адресов в разных регионах, поэтому геобазы способны показывать разные страны или города в зависимости от места проверки и маршрута.
3. Отставание геобаз: после смены владельца блока IP разные поставщики геоданных обновляются с разной скоростью (коммерческие геобазы обычно — раз в неделю, а некоторые бесплатные источники — раз в месяц или реже). Со временем данные сходятся; устаревшие данные меньшинства источников выявляются только перекрёстной проверкой.

CleanIP сравнивает данные геолокации, ASN и владельца сети из нескольких источников. Чем они согласованнее, тем выше достоверность; при явном расхождении CleanIP в первую очередь указывает вероятные причины: broadcast IP, публичную инфраструктуру или отставание баз.

CleanIP показывает две независимые оценки, направленные в противоположные стороны, — не путайте их:

Для большинства IP эти две оценки коррелируют отрицательно (высокая оценка чистоты обычно означает более низкую оценку риска), но не являются точными дополнениями друг друга. Считаются они по-разному: чистота — это сводная оценка качества, а оценка риска больше ориентирована на решения об угрозах и блокировках.

Оценка чистоты (0–100, чем выше, тем чище) — это взвешенная сумма 6 параметров:

• Достоверность личности IP (20%): согласованность принадлежности ASN со страной регистрации IP, проверка RPKI, принадлежность к известной публичной инфраструктуре
• Маскировка и анонимность (25%): признаки прокси / VPN / Tor / резидентного прокси (чем лучше IP замаскирован, тем больше штраф)
• История злоупотреблений (20%): число жалоб на злоупотребления и их давность, с перекрёстной проверкой по нескольким источникам данных
• Попадание в чёрные списки (15%): 21 источник DNSBL, базы ханипотов (HTTPBL) и списки известных скомпрометированных IP
• Атакующее поведение (10%): число атак по всей сети — следы активного сканирования или брутфорса
• Собственная репутация (10%): внутренняя оценка репутации CleanIP и события угроз за последние 30 дней

Соответствие оценок градациям:

Оценка — это не результат одного поля, а сводное суждение шести параметров, работающих вместе: достоверность личности IP, анонимность, жалобы, чёрные списки, атаки и собственная репутация.

Оценка риска — это отдельная оценка, не зависящая от чистоты (0–100, чем выше, тем опаснее, то есть направление противоположно чистоте). Она нужна именно для антифрод-решений — блокировать IP или заносить его в чёрный список:

Антифрод-данные поступают из мониторинга ханипотов, жалоб на злоупотребления, чёрных списков DNSBL, анализа поведения и других источников. Значение риска IP со временем снижается по мере устаревания записей.

Примечание: крупное число на главной — это оценка чистоты, а не оценка риска. Чем выше чистота, тем лучше; чем выше оценка риска, тем опаснее.

Оценка риска напрямую не зависит от того, домашний ли это IP. Если домашний IP раньше использовали для сканирования, брутфорса, парсинга или исходящих атак, его оценка риска может быть высокой. И наоборот, даже у IP дата-центра она может быть низкой, если за ним нет следов вредоносной активности.

Частые причины высокой оценки у домашнего IP:

• • Историческое загрязнение — прежний пользователь гонял через этот IP прокси-, парсерный или атакующий трафик, и источники данных сохранили запись
• • Пометка всего префикса — в том же блоке /24 есть вредоносный IP, и источники данных пометили весь блок
• • Заражённое устройство — IoT-устройство дома взломали, и оно вошло в ботнет
• • Клиент резидентного прокси — в сети работает софт резидентных прокси, например ProxyScrape или 911

Классификация CleanIP на уровне блоков IP довольно точна. Но использование IP-адресов не постоянно — каждый день множество IP переходит к другим владельцам. В целом точность данных составляет около 95%.

Чтобы проверить, не сменил ли IP недавно владельца, посмотрите отметку «впервые замечен» в данных ASN. Если данные по этому IP свежие, возможно, его принадлежность или статус изменились.

Рейтинг безопасности для платформ оценивает вероятность того, что этот IP вызовет запрос верификации, ограничения или блокировку в разных бизнес-сценариях. Он учитывает тип IP, риск анонимности, географическую согласованность, историю жалоб и терпимость платформы. Рейтинги делятся на три уровня:

• Безопасно: в целом подходит для долгой работы, низкая вероятность дополнительной верификации
• Риск: иногда возможны запросы верификации или ограничения
• Блокировка: высокая вероятность ограничений или бана

Рейтинг безопасности для платформ — не гарантия. На итоговое решение антифрода влияют также история аккаунта, отпечаток устройства, способ оплаты, регион и поведение при доступе.

Строгость антифрода у платформ разная:

• Мягкие (YouTube, X/Twitter, Facebook, e-commerce, игры): в основном следят за Tor, публичными прокси и серьёзными злоупотреблениями
• Строгие (Netflix, Disney+, TikTok): активно блокируют IP дата-центров и VPN
• Платёжный уровень: чувствительнее к анонимайзерам, IP дата-центров, географическим несовпадениям и необычным устройствам
• ИИ-платформы: довольно чувствительны к прокси и IP дата-центров

Отпечаток браузера собирает набор атрибутов браузера и устройства (версию браузера, операционную систему, разрешение экрана, установленные шрифты, часовой пояс, вывод Canvas/WebGL) и объединяет их в почти уникальный идентификатор, по которому одно и то же устройство узнают или отслеживают без cookies.

Типичные сигналы отпечатка: User-Agent, разрешение и глубина цвета экрана, часовой пояс и языковые настройки, результат отрисовки Canvas/WebGL, различия в измерении шрифтов, аудиоотпечаток, число логических ядер и другое. Даже если вы очистили cookies или открыли приватное окно, по отпечатку вас всё равно могут узнать.

Утечка WebRTC происходит, когда в процессе соединения WebRTC (обмен ICE-кандидатами) браузер непреднамеренно раскрывает ваш локальный или настоящий публичный IP, — то есть даже при включённом VPN или прокси целевой сайт всё равно может увидеть ваш реальный IP.

• Chrome: установите расширение «WebRTC Network Limiter» (от Google) или «WebRTC Leak Prevent»
• FirefoxНа странице about:config установите параметр media.peerconnection.enabled в значение false

Отпечаток JA3 — это хеш-отпечаток, который строится из полей сообщения Client Hello, отправляемого клиентом при TLS-рукопожатии (версия SSL, наборы шифров, расширения, эллиптические кривые и т. д.), и однозначно определяет реализацию клиента. Разные браузеры и приложения при установке HTTPS-соединения используют разные комбинации параметров TLS, и эти различия образуют своего рода «отпечаток сетевого уровня».

JA4 — улучшенная версия JA3: она решает проблему чувствительности JA3 к смене порядка полей и лучше различает слегка изменённые реализации.

«Двойной ISP» лишь означает, что владелец IP — провайдер, но не то, что адрес реально используется для домашнего интернета. Например, IP 110.242.68.66, который возвращает ping baidu.com, принадлежит China Unicom, а тип ASN у него — ISP, но на самом деле это один из серверных IP Baidu.

Механизм детекта серверов в CleanIP использует обратный DNS, сканирование портов, анализ баннеров и другие методы, чтобы находить реальные серверные IP внутри сетей провайдеров и классифицировать их точнее.

CleanIP объединяет коммерческие ленты IP-аналитики, публичные сетевые данные, базы маршрутизации, DNS-чёрные списки и собственные данные о поведении. Разные источники покрывают разные параметры:

• Геолокация и принадлежность ASN
• Определение прокси, VPN, Tor и резидентных прокси
• Жалобы на злоупотребления и записи чёрных списков
• Трафик ASN и профиль сети
• Маршрутизация BGP и история регистрации
• Открытые порты и отпечатки сервисов
• Собственные ханипоты и мониторинг поведения
• Вручную ведущаяся база брендов и публичной инфраструктуры

Когда источники данных расходятся, CleanIP в первую очередь показывает объяснимый вывод и оставляет канал обратной связи, чтобы пользователи могли исправлять аномальные случаи.

«Пользователи на одном IP» — это оценка числа разных пользователей, связанных с IP-адресом, по результатам мониторинга и анализа больших данных по всей сети. Если IP делят многие пользователи, это обычно публичный прокси или IP VPN.

Из-за повсеместного использования NAT в материковом Китае множество конечных пользователей выходят в интернет через один и тот же публичный IP, и это нормальное сетевое поведение. Поэтому для IP-адресов материкового Китая система по умолчанию не показывает этот показатель.

Домашние IP-адреса обычно остаются зарегистрированными на один ASN и одну организацию, и меняются редко. Если у IP часто меняются исторический ASN или организация-владелец, это говорит о нестабильной принадлежности — такой IP обычно называют «грязным».

Таблицы истории ASN и истории компаний позволяют наглядно увидеть все изменения по IP и оценить его стабильность.

Модуль сбора данных CleanIP определяет IP, принадлежащие популярным CDN (в том числе Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN и другим). Если на вашем сервере работает обратный прокси, а проксируемый домен использует CDN, IP вашего сервера может быть определён как IP CDN.

CleanIP выполняет TCP-сканирование 26 распространённых портов целевого IP. Помимо поиска открытых портов, он также:

• Считывание баннеров: определяет конкретное ПО и его версию на открытых портах
• Сопоставление CPE: сопоставляет найденное ПО со стандартизированными идентификаторами CPE
• Вывод тегов: определяет тип IP по сочетанию портов и данным CPE (например, CDN, база данных, IoT и т. д.)
• Сопоставление с CVE: сверяет найденные версии ПО с базами известных уязвимостей CVE

CPE (Common Platform Enumeration) — стандартизированная схема наименования ПО; например, cpe:/a:nginx:nginx:1.24.0 обозначает Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) — стандартный идентификатор известных уязвимостей безопасности; например, CVE-2024-6387 — это уязвимость удалённого выполнения кода в OpenSSH. CleanIP автоматически сверяет версии найденного ПО с известными критическими CVE.