คำถามที่พบบ่อย (FAQ)

CleanIP จัดประเภท IP โดยใช้ ความสอดคล้องของเจ้าของ วัตถุประสงค์ของเครือข่าย และความเสี่ยงด้านการปกปิดตัวตนเป็นเกณฑ์ ประเภทที่พบบ่อยมีดังนี้:

สีบอกเพียงแนวโน้มความเสี่ยง ไม่ใช่ข้อสรุปที่แน่นอน การตัดสินขั้นสุดท้ายยังต้องดูประวัติการละเมิด ความน่าเชื่อถือของ ASN และสถานการณ์การใช้งานจริงประกอบกัน

วิธีที่ใช้กันทั่วไปคือดูว่าเจ้าของ ASN เป็นองค์กรประเภทใดแล้วนำมาตัดสิน แต่วิธีนี้บอกได้เพียงว่าเจ้าของ IP เป็น ISP ไม่ได้หมายความว่า IP นั้นใช้งานจริงกับอินเทอร์เน็ตบ้าน ตัวอย่างเช่น IP ของเซิร์ฟเวอร์ IDC แบบดั้งเดิมในจีนส่วนใหญ่จดทะเบียนภายใต้ผู้ให้บริการเครือข่ายรายใหญ่ 3 ราย (China Telecom, China Unicom, China Mobile) เพราะทั้งสามเป็น ISP แต่ IP เหล่านี้ใช้งานจริงบนเซิร์ฟเวอร์ในดาต้าเซ็นเตอร์

CleanIP พิจารณาประเภท ASN ชื่อองค์กร DNS ย้อนกลับ พอร์ตที่เปิดอยู่ banner ของบริการ สัญญาณ proxy/VPN และพฤติกรรมในอดีตประกอบกันเพื่อตัดสิน วิธีนี้ช่วยแยกสองกรณีที่สับสนได้ง่าย คือ IP เซิร์ฟเวอร์ดาต้าเซ็นเตอร์ที่จดทะเบียนภายใต้ผู้ให้บริการเครือข่าย และจุดขาออกของ residential proxy ที่ปลอมตัวเป็นอินเทอร์เน็ตบ้าน

IP เนทีฟ หมายถึง IP ที่ประเทศจดทะเบียนของช่วง IP ตรงกับประเทศตามตำแหน่งทางภูมิศาสตร์ที่เลือกอยู่ หากเป็นคนละประเทศจะถือเป็น IP บรอดแคสต์ ประเทศจดทะเบียนของช่วง IP นำมาจากไฟล์การจัดสรรรายวันของ RIR ทั้ง 5 แห่ง กล่าวคือประเทศของผู้ถือครองที่ RIR จัดสรรบล็อกนั้นให้ ซึ่งเป็นเกณฑ์เดียวกับประเทศจดทะเบียนของ MaxMind และฐานข้อมูลหลักอื่น ๆ จะใช้ whois และ RDAP แทนก็ต่อเมื่อไฟล์การจัดสรรระบุเพียงรหัสภูมิภาคเท่านั้น ส่วนประเทศใน inetnum ของ whois เป็นข้อมูลที่ผู้ถือครองกรอกเอง จึงไม่ใช้เป็นเกณฑ์ตัดสิน หากประเทศจดทะเบียนของ ASN ต่างออกไป จะแสดงเป็นคำเตือนข้ามภูมิภาคแยกต่างหาก และไม่เปลี่ยนผลการตัดสินนี้ ทั้งอินเทอร์เน็ตบ้านและเครือข่ายดาต้าเซ็นเตอร์ต่างก็ใช้ IP เนทีฟได้

ผู้ให้บริการ IDC ข้ามชาติระดับโลกบางราย (เช่น AWS, GCP และ Azure) ซื้อบล็อก IP ขนาดใหญ่เพื่อให้จัดการได้สะดวก แล้วนำไปประกาศใช้ในหลายประเทศ IP ลักษณะนี้เรียกว่า “IP บรอดแคสต์”

เมื่อ IP ถูกระบุว่าเป็น IP เนทีฟ มักหมายความว่า IP นั้นเป็นของอินเทอร์เน็ตบ้านหรือผู้ให้บริการ IDC ในพื้นที่ เมื่อ IP แสดงเป็น IP บรอดแคสต์ มักหมายความว่า IP นั้นไม่ใช่อินเทอร์เน็ตบ้าน และไม่ได้มาจากผู้ให้บริการ IDC ในพื้นที่

CleanIP ตัดสินว่า IP เป็น IP เนทีฟหรือไม่จากตำแหน่งที่จดทะเบียน หากประเทศที่จดทะเบียนตรงกับประเทศตามตำแหน่งทางภูมิศาสตร์ จะแสดงเป็น “IP เนทีฟ” มิฉะนั้นจะแสดงเป็น “IP บรอดแคสต์” คุณดูตำแหน่งที่จดทะเบียนของ IP และประวัติย้อนหลังได้จากตาราง “ประวัติตำแหน่งที่จดทะเบียน” ด้านล่าง

สาเหตุที่พบบ่อย 3 ข้อ เรียงตามความถี่:

1. IP บรอดแคสต์: ประเทศจดทะเบียนของ IP ต่างจากประเทศตามตำแหน่งทางภูมิศาสตร์ พบบ่อยใน IDC ข้ามชาติ ผู้ให้บริการคลาวด์ โหนดต่างประเทศของผู้ให้บริการเครือข่าย หรือการประกาศ IP ข้ามประเทศของดาต้าเซ็นเตอร์ CleanIP จะแสดงป้ายสีเหลือง IP บรอดแคสต์ กำกับไว้
2. โครงสร้างพื้นฐานสาธารณะ: DNS สาธารณะ CDN หรือโหนดของแพลตฟอร์มคลาวด์ระดับโลกอาจใช้บล็อกที่อยู่เดียวกันในหลายภูมิภาค ฐานข้อมูลตำแหน่งจึงอาจรายงานประเทศหรือเมืองต่างกัน ขึ้นอยู่กับตำแหน่งของจุดตรวจวัดและมุมมองของเส้นทาง
3. ฐานข้อมูล geo อัปเดตล่าช้า: หลังจากบล็อก IP เปลี่ยนเจ้าของ ผู้ให้บริการข้อมูล geo แต่ละรายอัปเดตเร็วช้าไม่เท่ากัน (ฐานข้อมูล geo เชิงพาณิชย์มักอัปเดตทุกสัปดาห์ ส่วนแหล่งฟรีบางแห่งอัปเดตทุกเดือนหรือช้ากว่านั้น) ความคลาดเคลื่อนนี้มักลดลงเมื่อเวลาผ่านไป ส่วนข้อมูลที่ล้าสมัยจากแหล่งส่วนน้อยต้องอาศัยการตรวจสอบไขว้จึงจะพบ

CleanIP นำข้อมูลตำแหน่งทางภูมิศาสตร์ ASN และความเป็นเจ้าของเครือข่ายจากหลายแหล่งมาเทียบกัน ยิ่งข้อมูลสอดคล้องกันมาก ความเชื่อมั่นก็ยิ่งสูง หากพบความแตกต่างชัดเจน CleanIP จะแจ้งสาเหตุที่น่าจะเป็นก่อน เช่น IP บรอดแคสต์ โครงสร้างพื้นฐานสาธารณะ หรือฐานข้อมูลล่าช้า

CleanIP ให้คะแนนอิสระ 2 แบบ ซึ่งมีทิศทางตรงข้ามกัน อย่าสับสน:

สำหรับ IP ส่วนใหญ่ คะแนนทั้งสองมีความสัมพันธ์เชิงลบ (คะแนนความสะอาดสูงมักหมายถึงคะแนนความเสี่ยงต่ำ) แต่ไม่ได้ตรงข้ามกันพอดี เพราะคำนวณจากพื้นฐานต่างกัน ความสะอาดเป็นคะแนนคุณภาพแบบองค์รวม ส่วนคะแนนความเสี่ยงเน้นไปที่ภัยคุกคามและการตัดสินใจบล็อก

คะแนนความสะอาด (0–100 คะแนน ยิ่งสูงยิ่งสะอาด) คำนวณจากการรวมแบบถ่วงน้ำหนักของ 6 มิติ:

• ความน่าเชื่อถือของตัวตน (20%): ความสอดคล้องระหว่างประเทศจดทะเบียนของช่วง IP กับประเทศตามตำแหน่งทางภูมิศาสตร์ การตรวจสอบ RPKI และเป็นโครงสร้างพื้นฐานสาธารณะที่รู้จักหรือไม่
• การปกปิดตัวตน (25%): การตรวจจับ proxy / VPN / Tor / residential proxy (ยิ่งปกปิดได้แนบเนียน ยิ่งถูกหักคะแนนมาก)
• ประวัติการละเมิด (20%): จำนวนรายงานการละเมิดและอายุของรายงาน พร้อมตรวจสอบไขว้จากหลายแหล่งข้อมูล
• การติดแบล็กลิสต์ (15%): แหล่ง DNSBL 21 แห่ง ฐานข้อมูล honeypot (HTTPBL) และรายการ IP ที่ทราบว่าถูกเจาะระบบ
• พฤติกรรมการโจมตี (10%): จำนวนการโจมตีทั่วทั้งเครือข่าย ซึ่งสะท้อนประวัติการสแกนเชิงรุกหรือการ brute-force
• ความน่าเชื่อถือภายใน (10%): การประเมินความน่าเชื่อถือของ CleanIP เองและเหตุการณ์ภัยคุกคามในช่วง 30 วันที่ผ่านมา

เกณฑ์ระดับ:

คะแนนไม่ได้มาจากฟิลด์เดียว แต่เป็นการตัดสินแบบองค์รวมจาก 6 มิติที่ทำงานร่วมกัน ได้แก่ ตัวตน ความเป็นนิรนาม การละเมิด แบล็กลิสต์ การโจมตี และความน่าเชื่อถือภายใน

คะแนนความเสี่ยงเป็นคะแนนอีกตัวที่แยกอิสระจากความสะอาด (0–100 คะแนน ยิ่งสูงยิ่งอันตราย) ซึ่งมีทิศทางตรงข้ามกับความสะอาด และใช้สำหรับการตัดสินใจในระบบควบคุมความเสี่ยงของธุรกิจโดยเฉพาะ ว่าควรบล็อกหรือขึ้นแบล็กลิสต์ IP หรือไม่:

ข้อมูลระบบควบคุมความเสี่ยงมาจากหลายมิติ เช่น การติดตาม honeypot รายงานการละเมิด แบล็กลิสต์ DNSBL และการวิเคราะห์พฤติกรรม ค่าความเสี่ยงของ IP จะลดลงตามเวลาเมื่อบันทึกเหล่านี้เก่าลง

หมายเหตุ: ตัวเลขใหญ่บนหน้าแรกคือคะแนนความสะอาด ไม่ใช่คะแนนความเสี่ยง ความสะอาดยิ่งสูงยิ่งดี ส่วนคะแนนความเสี่ยงยิ่งสูงยิ่งอันตราย

คะแนนความเสี่ยงไม่ได้ขึ้นอยู่โดยตรงกับว่า IP เป็นอินเทอร์เน็ตบ้านหรือไม่ หาก IP อินเทอร์เน็ตบ้านเคยถูกใช้สแกน brute-force ทำ crawler หรือโจมตีออกไปภายนอก คะแนนความเสี่ยงก็อาจสูงได้ ในทางกลับกัน แม้เป็น IP ดาต้าเซ็นเตอร์ หากไม่มีประวัติพฤติกรรมที่เป็นอันตรายก็อาจมีคะแนนความเสี่ยงต่ำ

สาเหตุที่พบบ่อยที่ทำให้อินเทอร์เน็ตบ้านได้คะแนนสูง:

• • ประวัติการปนเปื้อน — ผู้ใช้ก่อนหน้าเคยใช้ IP นี้รันทราฟฟิก proxy, crawler หรือการโจมตี และแหล่งข้อมูลยังเก็บบันทึกไว้
• • การติดธงทั้ง prefix — มี IP อันตรายอยู่ในบล็อก /24 เดียวกัน และแหล่งข้อมูลติดธงทั้งบล็อก
• • อุปกรณ์ถูกเจาะ — อุปกรณ์ IoT ในบ้านถูกเจาะและกลายเป็นส่วนหนึ่งของ botnet
• • ไคลเอนต์ residential proxy — มีซอฟต์แวร์ residential proxy เช่น ProxyScrape หรือ 911 ทำงานอยู่ในเครือข่าย

การจำแนกระดับบล็อก IP ของ CleanIP มีความแม่นยำค่อนข้างสูง แต่การใช้งานที่อยู่ IP ไม่ได้คงที่ มี IP จำนวนมากเปลี่ยนมือทุกวัน ความแม่นยำของข้อมูลโดยรวมอยู่ที่ประมาณ 95%

หากต้องการตรวจว่า IP เพิ่งเปลี่ยนมือหรือไม่ ให้ดูเวลา “พบครั้งแรก” ในข้อมูล ASN หากข้อมูลของ IP นี้เพิ่งปรากฏไม่นาน อาจแสดงว่าเจ้าของหรือสถานะของ IP มีการเปลี่ยนแปลง

ระดับความปลอดภัยบนแพลตฟอร์มใช้ประเมินโอกาสที่ IP นี้จะถูกขอให้ยืนยันตัวตน ถูกจำกัด หรือถูกบล็อกในสถานการณ์การใช้งานต่าง ๆ โดยพิจารณาจากประเภท IP ความเสี่ยงด้านการปกปิดตัวตน ความสอดคล้องทางภูมิศาสตร์ ประวัติการละเมิด และความผ่อนปรนของแพลตฟอร์ม แบ่งเป็น 3 ระดับ:

• ปลอดภัย: โดยทั่วไปเหมาะกับการใช้งานระยะยาว มีโอกาสต่ำที่จะถูกขอให้ยืนยันเพิ่มเติม
• ความเสี่ยง: อาจถูกขอให้ยืนยันหรือถูกจำกัดเป็นครั้งคราว
• บล็อก: มีโอกาสสูงที่จะถูกจำกัดหรือแบน

ระดับความปลอดภัยบนแพลตฟอร์มไม่ใช่การรับประกัน ประวัติบัญชี ลายนิ้วมืออุปกรณ์ วิธีชำระเงิน ภูมิภาค และพฤติกรรมการเข้าใช้งาน ล้วนมีผลต่อผลลัพธ์สุดท้ายของระบบควบคุมความเสี่ยง

ระบบควบคุมความเสี่ยงของแต่ละแพลตฟอร์มเข้มงวดไม่เท่ากัน:

• ผ่อนปรน (YouTube, X/Twitter, Facebook, อีคอมเมิร์ซ, เกม): เน้นตรวจ Tor, proxy สาธารณะ และการละเมิดร้ายแรงเป็นหลัก
• เข้มงวด (Netflix, Disney+, TikTok): บล็อก IP ดาต้าเซ็นเตอร์และ VPN อย่างจริงจัง
• ระดับการชำระเงิน: อ่อนไหวต่อบริการปกปิดตัวตน IP ดาต้าเซ็นเตอร์ ภูมิภาคที่ไม่ตรงกัน และอุปกรณ์ที่ผิดปกติมากกว่า
• แพลตฟอร์ม AI: ค่อนข้างอ่อนไหวต่อ proxy และ IP ดาต้าเซ็นเตอร์

ลายนิ้วมือเบราว์เซอร์คือการเก็บคุณลักษณะต่าง ๆ ของเบราว์เซอร์และอุปกรณ์ (เช่น เวอร์ชันเบราว์เซอร์ ระบบปฏิบัติการ ความละเอียดหน้าจอ ฟอนต์ที่ติดตั้ง เขตเวลา และผลลัพธ์จาก Canvas/WebGL) มารวมกันเป็นตัวระบุที่แทบไม่ซ้ำใคร เพื่อใช้จดจำหรือติดตามอุปกรณ์เครื่องเดิมโดยไม่ต้องใช้คุกกี้

สัญญาณลายนิ้วมือที่พบบ่อย ได้แก่ User-Agent ความละเอียดหน้าจอ/ความลึกสี การตั้งค่าเขตเวลา/ภาษา ผลการเรนเดอร์ Canvas/WebGL ความต่างในการวัดขนาดฟอนต์ ลายนิ้วมือเสียง จำนวนเธรดของฮาร์ดแวร์ เป็นต้น แม้คุณจะล้างคุกกี้หรือใช้หน้าต่างส่วนตัว ลายนิ้วมือก็ยังจดจำคุณได้

WebRTC Leak เกิดขึ้นเมื่อขั้นตอนการเชื่อมต่อ WebRTC ของเบราว์เซอร์ (การแลกเปลี่ยน ICE candidate) เปิดเผยที่อยู่ IP ภายในหรือ IP สาธารณะจริงของคุณโดยไม่ตั้งใจ หมายความว่าแม้คุณใช้ VPN หรือ proxy อยู่ เว็บไซต์ปลายทางก็ยังอาจเห็น IP จริงของคุณ

• Chrome: ติดตั้งส่วนขยาย “WebRTC Network Limiter” (ของ Google) หรือ “WebRTC Leak Prevent”
• Firefox: ในหน้า about:config ให้ตั้งค่า media.peerconnection.enabled เป็น false

ลายนิ้วมือ JA3 คือลายนิ้วมือแบบแฮชที่สร้างจากการวิเคราะห์ฟิลด์ในข้อความ Client Hello ที่ไคลเอนต์ส่งระหว่าง TLS handshake (เวอร์ชัน SSL, cipher suite, ส่วนขยาย, elliptic curve เป็นต้น) ใช้ระบุรูปแบบการทำงานของไคลเอนต์แต่ละตัว เบราว์เซอร์และแอปแต่ละตัวใช้ชุดพารามิเตอร์ TLS ต่างกันเมื่อสร้างการเชื่อมต่อ HTTPS และความแตกต่างเหล่านี้กลายเป็น “ลายนิ้วมือระดับเครือข่าย” แบบหนึ่ง

JA4 เป็นเวอร์ชันปรับปรุงของ JA3 ที่แก้ปัญหา JA3 อ่อนไหวต่อการสลับลำดับ ทำให้แยกแยะไคลเอนต์ที่ถูกดัดแปลงเพียงเล็กน้อยได้ดีขึ้น

“Dual ISP” บอกได้เพียงว่าเจ้าของ IP เป็น ISP ไม่ได้หมายความว่า IP นั้นใช้งานจริงกับอินเทอร์เน็ตบ้าน ตัวอย่างเช่น IP 110.242.68.66 ที่ได้จาก ping baidu.com เป็นของ China Unicom และมีประเภท ASN เป็น ISP แต่ที่จริงเป็น IP เซิร์ฟเวอร์ตัวหนึ่งของ Baidu

เอนจินตรวจจับเซิร์ฟเวอร์ของ CleanIP ใช้ DNS ย้อนกลับ การสแกนพอร์ต การวิเคราะห์ banner และเทคนิคอื่น ๆ เพื่อระบุ IP ที่เป็นเซิร์ฟเวอร์จริงในเครือข่ายของ ISP ทำให้จำแนกได้แม่นยำยิ่งขึ้น

CleanIP รวมข้อมูลจากแหล่งข่าวกรอง IP เชิงพาณิชย์ ข้อมูลเครือข่ายสาธารณะ ฐานข้อมูลเส้นทาง แบล็กลิสต์ DNS และข้อมูลพฤติกรรมของเราเอง แต่ละแหล่งครอบคลุมมิติต่างกัน:

• ตำแหน่งทางภูมิศาสตร์และเจ้าของ ASN
• การตรวจจับ proxy, VPN, Tor และ residential proxy
• รายงานการละเมิดและบันทึกการติดแบล็กลิสต์
• ทราฟฟิกของ ASN และการวิเคราะห์โปรไฟล์เครือข่าย
• เส้นทาง BGP และประวัติการจดทะเบียน
• พอร์ตที่เปิดอยู่และลายนิ้วมือของบริการ
• ฮันนีพอตที่สร้างเองและการติดตามพฤติกรรม
• ฐานข้อมูลแบรนด์และโครงสร้างพื้นฐานสาธารณะที่ทีมงานคัดกรองเอง

เมื่อแหล่งข้อมูลให้ผลไม่ตรงกัน CleanIP จะเน้นแสดงข้อสรุปที่อธิบายได้ และเปิดช่องทางให้ผู้ใช้ส่งความคิดเห็นเพื่อแก้ไขตัวอย่างที่ผิดปกติ

“จำนวนผู้ใช้ร่วมกัน” คือค่าประมาณจำนวนผู้ใช้ที่ไม่ซ้ำกันซึ่งเชื่อมโยงกับที่อยู่ IP หนึ่ง โดยอิงจากการติดตามและวิเคราะห์ข้อมูลขนาดใหญ่ทั่วทั้งเครือข่าย IP ที่มีผู้ใช้ร่วมกันจำนวนมากมักบ่งบอกว่าเป็น IP ของ proxy สาธารณะหรือ VPN

เนื่องจากจีนแผ่นดินใหญ่ใช้ NAT อย่างแพร่หลาย ผู้ใช้ปลายทางจำนวนมากจึงเข้าถึงอินเทอร์เน็ตผ่าน IP สาธารณะเดียวกัน ซึ่งเป็นพฤติกรรมเครือข่ายตามปกติ ดังนั้นโดยค่าเริ่มต้นระบบจะไม่แสดงตัวชี้วัดจำนวนผู้ใช้ร่วมกันสำหรับที่อยู่ IP ในจีนแผ่นดินใหญ่

โดยทั่วไปที่อยู่ IP ของอินเทอร์เน็ตบ้านจะจดทะเบียนอยู่กับ ASN และองค์กรที่แน่นอน และเปลี่ยนแปลงไม่บ่อย หาก ASN หรือองค์กรเจ้าของในประวัติของ IP เปลี่ยนบ่อย แสดงว่าสถานะความเป็นเจ้าของไม่มั่นคง ซึ่งมักเรียกกันว่า IP “ไม่สะอาด”

ตารางประวัติ ASN และประวัติองค์กรช่วยให้คุณเห็นบันทึกการเปลี่ยนแปลงทั้งหมดของ IP ได้อย่างชัดเจน และช่วยประเมินความมั่นคงของ IP

โมดูลรวบรวมข้อมูลของ CleanIP จะระบุ IP ที่เป็นของ CDN ทั่วไป (เช่น Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN เป็นต้น) หากคุณใช้ reverse proxy บนเซิร์ฟเวอร์ และโดเมนที่ถูก proxy ใช้ CDN อยู่ IP ของเซิร์ฟเวอร์คุณอาจถูกระบุว่าเป็น IP ของ CDN

CleanIP จะสแกนการเชื่อมต่อ TCP ไปยังพอร์ตทั่วไป 26 พอร์ตของ IP เป้าหมาย นอกจากค้นหาพอร์ตที่เปิดอยู่แล้ว ยังทำสิ่งต่อไปนี้:

• การดึง Banner: ระบุซอฟต์แวร์และเวอร์ชันที่ทำงานอยู่บนพอร์ตที่เปิด
• การแมป CPE: แมปซอฟต์แวร์ที่ระบุได้เป็นรหัส CPE มาตรฐาน
• การอนุมานแท็ก: อนุมานประเภท IP จากชุดพอร์ตและข้อมูล CPE (เช่น CDN, ฐานข้อมูล, IoT เป็นต้น)
• การจับคู่ช่องโหว่ CVE: จับคู่เวอร์ชันซอฟต์แวร์ที่ระบุได้กับฐานข้อมูลช่องโหว่ CVE ที่ทราบแล้ว

CPE (Common Platform Enumeration) คือรูปแบบการตั้งชื่อซอฟต์แวร์ที่เป็นมาตรฐาน ตัวอย่างเช่น cpe:/a:nginx:nginx:1.24.0 หมายถึง Nginx 1.24.0

CVE (Common Vulnerabilities and Exposures) คือรหัสมาตรฐานของช่องโหว่ด้านความปลอดภัยที่เป็นที่รู้จัก เช่น CVE-2024-6387 คือช่องโหว่การรันโค้ดจากระยะไกลใน OpenSSH ทั้งนี้ CleanIP จะจับคู่เวอร์ชันซอฟต์แวร์ที่สแกนพบกับ CVE ความรุนแรงสูงที่ทราบแล้วโดยอัตโนมัติ