Sıkça sorulan sorular (SSS)

CleanIP, IP türlerini şu ölçütlere göre düzenler: sahiplik tutarlılığı, ağın kullanım amacı ve anonimlik riski. Yaygın türler şunlardır:

Renkler yalnızca bir risk eğilimini gösterir, kesin bir sonuç değildir. Nihai değerlendirme yine de kötüye kullanım geçmişine, ASN itibarına ve somut iş senaryosuna bağlıdır.

Yaygın bir yöntem şuna bakmaktır: ASN sahibinin türü. Ancak bu yalnızca IP'nin bir İSS'ye ait olduğunu gösterir; IP'nin gerçekten ev interneti için kullanıldığı anlamına gelmez. Örneğin Çin'de geleneksel IDC sunucu IP'lerinin çoğu, birer İSS oldukları için üç büyük operatör (China Telecom, China Unicom, China Mobile) adına kayıtlıdır; ancak bu IP'ler aslında veri merkezi sunucularında kullanılır.

CleanIP bu kararı verirken ASN türünü, kuruluş adını, ters DNS kaydını, açık portları, servis banner'larını, proxy/VPN sinyallerini ve geçmiş davranışı birlikte değerlendirir. Bu sayede kolayca karıştırılan iki durum ayırt edilebilir: bir operatör adına kayıtlı veri merkezi sunucu IP'leri ve ev interneti gibi görünen konut proxy'si çıkış noktaları.

Yerel IP terimi, IP aralığının kayıt ülkesi seçili coğrafi konum ülkesiyle aynı olan IP adresini ifade eder. Ülkeler farklıysa broadcast olarak gösterilir. Aralığın kayıt ülkesi, beş RIR'ın günlük tahsis (delegation) dosyalarındaki ülkedir; yani RIR'ın bloğu tahsis ettiği sahibin ülkesi. Bu, MaxMind'ın kayıtlı ülke (registered country) alanı ve diğer yaygın veritabanlarıyla aynı esastır. Yalnızca tahsis dosyası bir bölge kodu verdiğinde whois ve RDAP verilerine başvurulur. whois kaydındaki inetnum ülkesi sahip tarafından doldurulur ve kararı belirlemez. ASN kayıt ülkesinin farklı olması ayrı bir bölgeler arası uyarıdır ve bu kararı asla değiştirmez. Hem konut hem de veri merkezi ağları yerel IP kullanabilir.

Bazı küresel, çok uluslu IDC sağlayıcıları (AWS, GCP ve Azure gibi) yönetim kolaylığı için büyük IP blokları satın alır ve bunları birden fazla ülkede yayınlar. Bu tür IP'ler şöyle adlandırılır: broadcast IP.

Bir IP yerel olarak işaretlendiğinde, bu genellikle IP'nin ev internetine veya yerel bir IDC sağlayıcısına ait olduğunu gösterir. Bir IP broadcast olarak göründüğünde ise genellikle IP'nin ne ev internetine ne de yerel bir IDC sağlayıcısına ait olduğunu gösterir.

CleanIP, bir IP'nin yerel olup olmadığını kayıt konumuna göre belirler. Kayıtlı ülke, coğrafi konum adresinin ülkesiyle aynıysa “Yerel IP”, değilse “Broadcast IP” olarak gösterilir. Aşağıdaki “Kayıt geçmişi” tablosunda IP'nin kayıt konumunu ve geçmiş kayıtlarını görebilirsiniz.

Sıklık sırasına göre üç tipik neden:

1. Broadcast IP: IP'nin kayıtlı olduğu ülke, coğrafi konum adresinin ülkesinden farklıdır. Çok uluslu IDC'lerde, bulut sağlayıcılarında, operatörlerin yurt dışı düğümlerinde veya yurt dışına yayınlanan veri merkezi bloklarında yaygındır. CleanIP bunu sarı bir Broadcast IP rozetiyle işaretler.
2. Genel altyapı: Genel DNS'ler, CDN'ler veya küresel bulut platformu düğümleri aynı adres bloklarını birden fazla bölgede kullanabilir; bu nedenle coğrafi konum veritabanları, ölçüm noktasının konumuna ve yönlendirme bakış açısına göre farklı ülke veya şehirler bildirebilir.
3. Konum veritabanı gecikmesi: Bir IP bloğunun sahibi değiştikten sonra farklı konum sağlayıcıları farklı hızlarda güncellenir (ticari konum veritabanları genellikle haftalık, bazı ücretsiz kaynaklar aylık veya daha seyrek güncellenir). Bu farklar zamanla kapanır; az sayıdaki kaynağın eskimiş verilerini belirlemek için çapraz doğrulama gerekir.

CleanIP birden fazla kaynaktan gelen coğrafi konum, ASN ve ağ sahipliği verilerini yan yana karşılaştırır. Tutarlılık ne kadar yüksekse güven düzeyi de o kadar yüksektir; belirgin bir tutarsızlık olduğunda CleanIP öncelikle broadcast IP, genel altyapı veya veritabanı gecikmesi gibi olası nedenleri belirtir.

CleanIP birbirinden bağımsız iki puan sunar; bu puanlar zıt yönlüdür, karıştırmayın:

Çoğu IP'de iki puan ters yönde ilişkilidir (yüksek bir temizlik puanı genellikle daha düşük bir risk puanı anlamına gelir), ancak birbirlerinin tam tersi değildir. Farklı hesaplanırlar: temizlik bileşik bir kalite puanıdır; risk puanı ise daha çok tehdit ve engelleme kararlarına yöneliktir.

Temizlik puanı (0–100, yüksek olan daha temizdir) 6 boyutun ağırlıklı birleşiminden oluşur:

• Kimlik güvenilirliği (%20): IP aralığının kayıt ülkesi ile coğrafi konum ülkesinin tutarlılığı, RPKI doğrulaması ve bilinen bir genel altyapı olup olmadığı
• Anonimlik ve gizlenme (%25): proxy / VPN / Tor / konut proxy'si tespiti (ne kadar gizliyse o kadar çok puan düşülür)
• Kötüye kullanım geçmişi (%20): kötüye kullanım bildirimi sayısı ve bildirimlerin yaşı; birden fazla veri kaynağıyla çapraz doğrulanır
• Kara liste kapsamı (%15): 21 DNSBL kaynağı, honeypot veritabanları (HTTPBL) ve ele geçirildiği bilinen IP listeleri
• Saldırı davranışı (%10): aktif tarama veya kaba kuvvet kayıtlarını yansıtan, ağ genelindeki saldırı sayıları
• Yerel itibar (%10): CleanIP'nin kendi itibar değerlendirmesi ve son 30 gündeki tehdit olayları

Seviye eşlemesi:

Puan tek bir alanın sonucu değildir; kimlik, anonimlik, kötüye kullanım, kara liste, saldırılar ve yerel itibar olmak üzere altı boyutun birlikte oluşturduğu bileşik bir değerlendirmedir.

Risk puanı temizlikten bağımsız, ayrı bir puandır (0–100, yüksek olan daha tehlikelidir; yönü temizliğin tersidir). Özellikle bir IP'nin engellenip engellenmeyeceğine veya kara listeye alınıp alınmayacağına dair iş tarafındaki risk kontrol kararları için kullanılır:

Risk kontrol verileri honeypot izleme, kötüye kullanım bildirimleri, DNSBL kara listeleri, davranış analizi ve diğer çok boyutlu kaynaklardan gelir. Bir IP'nin risk değeri, risk kontrol kayıtları eskidikçe zamanla azalır.

Not: Ana sayfadaki büyük rakam risk puanı değil, temizlik puanıdır. Temizlik ne kadar yüksekse o kadar iyidir; risk puanı ne kadar yüksekse o kadar tehlikelidir.

Risk puanı, bir IP'nin ev interneti olup olmamasıyla doğrudan bağlantılı değildir. Bir ev interneti IP'si daha önce tarama, kaba kuvvet saldırısı, crawler trafiği veya dışa yönelik saldırılar için kullanıldıysa risk puanı yüksek olabilir. Tersine, kötü amaçlı davranış kaydı yoksa bir veri merkezi IP'sinin bile risk puanı düşük olabilir.

Ev internetinde yüksek puanın yaygın nedenleri:

• • Geçmişten kalan kirlilik — Önceki bir kullanıcı bu IP üzerinden proxy, crawler veya saldırı trafiği çalıştırdı ve veri kaynakları bu kaydı tuttu
• • Tüm önekin işaretlenmesi — Aynı /24 bloğunun başka bir yerinde kötü amaçlı bir IP var ve veri kaynakları tüm bloğu işaretledi
• • Cihazın ele geçirilmesi — Evdeki bir IoT cihazı ele geçirildi ve bir botnet'e katıldı
• • Konut proxy'si istemcisi — Ağda ProxyScrape veya 911 gibi bir konut proxy'si yazılımı çalışıyor

CleanIP'nin IP bloğu düzeyindeki sınıflandırması nispeten yüksek doğruluğa sahiptir. Ancak IP adreslerinin kullanımı sabit değildir; her gün çok sayıda IP el değiştirir. Genel veri doğruluğu kabaca %95 civarındadır.

Bir IP'nin yakın zamanda el değiştirip değiştirmediğini anlamak için ASN verilerindeki “ilk görülme” zamanına bakın. Bu IP'ye ait veriler yeniyse, sahipliğinin veya durumunun değiştiği anlamına gelebilir.

Platform güvenlik derecelendirmesi, bu IP'nin farklı iş senaryolarında doğrulama, kısıtlama veya engellemeyi tetikleme olasılığını tahmin eder. IP türünü, anonimlik riskini, coğrafi tutarlılığı, kötüye kullanım geçmişini ve platform toleransını hesaba katar. Derecelendirmeler üç seviyeye ayrılır:

• Güvenli: genellikle uzun süreli kullanıma uygundur; ek doğrulamayı tetikleme olasılığı düşüktür
• Riskli: zaman zaman doğrulama veya kısıtlamayı tetikleyebilir
• Engel: kısıtlanma veya yasaklanma olasılığı yüksektir

Platform güvenlik derecelendirmesi bir garanti değildir. Hesap geçmişi, cihaz parmak izi, ödeme yöntemi, bölge ve erişim davranışı nihai risk kontrol sonucunu etkiler.

Platformların risk kontrol sıkılığı farklıdır:

• Esnek (YouTube, X/Twitter, Facebook, e-ticaret, oyun): esas olarak Tor, açık proxy'ler ve ciddi kötüye kullanım durumlarını izler
• Sıkı (Netflix, Disney+, TikTok): veri merkezi IP'lerini ve VPN'leri aktif olarak engeller
• Ödeme düzeyi: anonimlik hizmetlerine, veri merkezi IP'lerine, coğrafi uyumsuzluklara ve olağandışı cihazlara karşı daha hassastır
• AI platformları: proxy'lere ve veri merkezi IP'lerine karşı oldukça hassastır

Tarayıcı parmak izi, bir dizi tarayıcı ve cihaz özelliğini (tarayıcı sürümü, işletim sistemi, ekran çözünürlüğü, yüklü yazı tipleri, saat dilimi ve Canvas/WebGL çıktısı gibi) toplayıp neredeyse benzersiz bir tanımlayıcıda birleştirir; bu tanımlayıcı, çerezlere gerek kalmadan aynı cihazı tanımak veya izlemek için kullanılır.

Yaygın parmak izi sinyalleri şunlardır: User-Agent, ekran çözünürlüğü/renk derinliği, saat dilimi/dil ayarları, Canvas/WebGL işleme çıktısı, yazı tipi ölçüm farkları, ses parmak izi, donanım eşzamanlılığı ve daha fazlası. Çerezleri temizleseniz veya gizli pencere kullansanız bile parmak izi sizi yine tanıyabilir.

WebRTC sızıntısı, tarayıcının WebRTC bağlantı süreci (ICE aday değişimi) yerel veya gerçek genel IP adresinizi istemeden açığa çıkardığında olur; yani VPN veya proxy kullanırken bile hedef web sitesi gerçek IP'nizi görebilir.

• Chrome: “WebRTC Network Limiter” (Google tarafından geliştirilen) veya “WebRTC Leak Prevent” uzantısını yükleyin
• Firefox: about:config sayfasında media.peerconnection.enabled seçeneğini şu değere ayarlayın: false

JA3 parmak izi, TLS el sıkışması sırasında istemcinin gönderdiği Client Hello mesajının alanları (SSL sürümü, şifre takımları, uzantılar, eliptik eğriler vb.) analiz edilerek üretilen ve istemci uygulamasını benzersiz biçimde tanımlayan bir hash parmak izidir. Farklı tarayıcılar ve uygulamalar HTTPS bağlantısı kurarken farklı TLS parametre kombinasyonları kullanır; bu farklar bir tür “ağ katmanı parmak izi” oluşturur.

JA4, JA3'ün geliştirilmiş bir sürümüdür; JA3'ün sıralama değişikliklerine duyarlılığı sorununu giderir ve hafifçe değiştirilmiş uygulamaları daha iyi ayırt eder.

“Çift İSS” yalnızca IP'nin sahibinin bir İSS olduğunu gösterir; IP'nin gerçekten ev interneti için kullanıldığı anlamına gelmez. Örneğin 110.242.68.66 IP'si, ping baidu.com komutunun döndürdüğü adrestir; China Unicom'a aittir ve ASN türü İSS'dir, ancak aslında Baidu'nun sunucu IP'lerinden biridir.

CleanIP'nin sunucu tespit motoru, İSS ağlarındaki gerçek sunucu IP'lerini belirlemek için ters DNS, port tarama, banner analizi ve diğer teknikleri kullanır; böylece daha doğru bir sınıflandırma sağlar.

CleanIP; ticari IP istihbaratı akışlarını, genel ağ verilerini, yönlendirme veritabanlarını, DNS kara listelerini ve kendi davranış verilerini birleştirir. Farklı kaynaklar farklı boyutları kapsar:

• Coğrafi konum ve ASN sahipliği
• Proxy, VPN, Tor ve konut proxy'si tespiti
• Kötüye kullanım bildirimleri ve kara liste kayıtları
• ASN trafiği ve ağ profili çıkarma
• BGP yönlendirme ve kayıt geçmişi
• Açık portlar ve servis parmak izleri
• Kendi honeypot'larımız ve davranış izleme
• Elle derlenen marka ve genel altyapı veritabanı

Veri kaynakları çeliştiğinde CleanIP öncelikle açıklanabilir bir sonuç gösterir ve olağandışı örnekleri düzeltmek için kullanıcı geri bildirim kanalını açık tutar.

“Paylaşımlı kullanıcı”, ağ genelindeki büyük veri izleme ve analizine dayanarak bir IP adresiyle ilişkili farklı kullanıcı sayısının tahminidir. Çok sayıda kullanıcının paylaştığı bir IP genellikle herkese açık bir proxy veya VPN IP'sine işaret eder.

Çin anakarasında NAT'ın yaygın kullanımı nedeniyle çok sayıda son kullanıcı internete aynı genel IP üzerinden erişir; bu normal bir ağ davranışıdır. Bu nedenle sistem, Çin anakarasındaki IP adresleri için paylaşımlı kullanıcı metriğini varsayılan olarak göstermez.

Ev interneti IP adresleri genellikle sabit bir ASN ve kuruluş altında kayıtlı kalır, değişim oranı düşüktür. Bir IP'nin geçmişteki ASN'si veya sahibi olan kuruluş sık sık değişiyorsa sahiplik durumu istikrarsızdır; bu tür IP'lere genellikle “temiz olmayan” IP denir.

ASN geçmişi ve şirket geçmişi tabloları, IP'ye ait tüm değişiklik kayıtlarını açıkça görmenizi sağlayarak istikrarını değerlendirmenize yardımcı olur.

CleanIP'nin veri toplama modülü, yaygın CDN'lere (Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN ve diğerleri) ait IP'leri tanımlar. Sunucunuzda bir ters proxy çalıştırıyorsanız ve proxy'lenen alan adı bir CDN kullanıyorsa, sunucunuzun IP'si CDN IP'si olarak tanımlanabilir.

CleanIP, hedef IP'deki 26 yaygın porta TCP bağlantı taraması yapar. Açık portları bulmanın ötesinde şunları da yapar:

• Banner yakalama: açık portlarda çalışan yazılımı ve sürümünü tanımlar
• CPE eşleme: tanımlanan yazılımı standart CPE tanımlayıcılarıyla eşler
• Etiket çıkarımı: port kombinasyonlarından ve CPE verilerinden IP türünü çıkarır (örn. CDN, veritabanı, IoT vb.)
• CVE güvenlik açığı eşleştirme: tanımlanan yazılım sürümlerini bilinen CVE güvenlik açığı veritabanlarıyla eşleştirir

CPE (Common Platform Enumeration), standartlaştırılmış bir yazılım adlandırma şemasıdır; örneğin cpe:/a:nginx:nginx:1.24.0 ifadesi Nginx 1.24.0 sürümünü temsil eder.

CVE (Common Vulnerabilities and Exposures), bilinen güvenlik açıkları için standart tanımlayıcıdır; örneğin CVE-2024-6387, OpenSSH'teki bir uzaktan kod yürütme açığıdır. CleanIP, taranan yazılım sürümlerini bilinen yüksek önem dereceli CVE'lerle otomatik olarak eşleştirir.