Câu hỏi thường gặp (FAQ)

CleanIP phân loại IP dựa trên tính nhất quán về quyền sở hữu, mục đích sử dụng của mạng và mức rủi ro ẩn danh. Các loại phổ biến gồm:

Màu sắc chỉ thể hiện xu hướng rủi ro, không phải kết luận tuyệt đối. Kết luận cuối cùng vẫn phụ thuộc vào lịch sử lạm dụng, uy tín ASN và kịch bản kinh doanh cụ thể.

Cách phổ biến là kiểm tra loại chủ sở hữu ASN. Tuy nhiên, cách này chỉ cho biết IP thuộc sở hữu của một ISP — không có nghĩa IP đó thực sự dùng cho băng thông rộng gia đình. Ví dụ, ở Trung Quốc, phần lớn IP máy chủ IDC truyền thống được đăng ký dưới tên ba nhà mạng lớn (China Telecom, China Unicom, China Mobile); vì họ là ISP nên các IP này trông như IP nhà mạng, nhưng thực tế lại được dùng cho máy chủ trong datacenter.

CleanIP kết hợp loại ASN, tên tổ chức, rDNS, cổng đang mở, banner dịch vụ, tín hiệu proxy/VPN và hành vi trong quá khứ để đưa ra kết luận. Nhờ vậy có thể phân biệt hai trường hợp dễ nhầm: IP máy chủ datacenter đăng ký dưới tên nhà mạng, và lối ra proxy dân cư giả dạng băng thông rộng gia đình.

IP native là IP có quốc gia đăng ký dải IP trùng với quốc gia định vị đã chọn. Khác quốc gia thì là broadcast. Quốc gia đăng ký dải IP là quốc gia trong các tệp delegation hằng ngày của 5 RIR, tức quốc gia của đơn vị nắm giữ mà RIR đã cấp phát dải IP cho — cùng cơ sở với "registered country" của MaxMind và các cơ sở dữ liệu phổ biến khác. Chỉ khi tệp delegation không có mã vùng thì chúng tôi mới quay sang dùng whois và RDAP. Quốc gia inetnum trong whois do đơn vị nắm giữ tự khai và không quyết định kết luận. Quốc gia đăng ký ASN khác nhau chỉ là một thông báo "khác khu vực" riêng và không bao giờ thay đổi kết luận này. Cả mạng dân cư lẫn mạng datacenter đều có thể dùng IP native.

Một số nhà cung cấp IDC toàn cầu, đa quốc gia (như AWS, GCP và Azure) mua các dải IP lớn để quản lý thuận tiện rồi quảng bá chúng ở nhiều quốc gia. Loại IP này được gọi là IP broadcast.

Khi một IP được đánh dấu là native, thường có nghĩa IP đó thuộc băng thông rộng gia đình hoặc nhà cung cấp IDC trong nước. Khi một IP hiển thị là broadcast, thường có nghĩa IP đó không phải băng thông rộng gia đình cũng không phải của nhà cung cấp IDC trong nước.

CleanIP xác định IP có phải native hay không dựa trên nơi đăng ký của IP. Nếu quốc gia đăng ký trùng với quốc gia định vị thì hiển thị là "IP native"; ngược lại hiển thị là "IP broadcast". Bạn có thể dùng bảng "Lịch sử đăng ký" bên dưới để xem nơi đăng ký của IP và các bản ghi lịch sử.

Có ba nguyên nhân điển hình, xếp theo mức độ thường gặp:

1. IP broadcast: Quốc gia đăng ký của IP khác với quốc gia nơi IP được định vị. Thường gặp ở IDC đa quốc gia, nhà cung cấp đám mây, node ở nước ngoài của nhà mạng hoặc datacenter quảng bá dải IP. CleanIP đánh dấu trường hợp này bằng huy hiệu IP broadcast màu vàng.
2. Hạ tầng công cộng: DNS công cộng, CDN hoặc node của nền tảng đám mây toàn cầu có thể dùng cùng một dải địa chỉ ở nhiều khu vực, nên cơ sở dữ liệu định vị có thể báo các quốc gia hoặc thành phố khác nhau tùy vị trí thăm dò và góc nhìn định tuyến.
3. Cơ sở dữ liệu định vị cập nhật chậm: Sau khi một dải IP đổi chủ, các nhà cung cấp dữ liệu định vị cập nhật với tốc độ khác nhau (cơ sở dữ liệu định vị thương mại thường cập nhật hằng tuần, trong khi một số nguồn miễn phí cập nhật hằng tháng hoặc chậm hơn). Theo thời gian, dữ liệu thường sẽ hội tụ; dữ liệu cũ từ một số ít nguồn cần được đối chiếu chéo mới nhận ra.

CleanIP đặt dữ liệu định vị, ASN và quyền sở hữu mạng từ nhiều nguồn cạnh nhau để so sánh. Mức độ nhất quán càng cao thì độ tin cậy càng cao; khi có sự chênh lệch rõ ràng, CleanIP ưu tiên gắn cờ các nguyên nhân có khả năng như IP broadcast, hạ tầng công cộng hoặc cơ sở dữ liệu cập nhật chậm.

CleanIP cung cấp hai điểm số độc lập có chiều ngược nhau — đừng nhầm lẫn:

Với phần lớn IP, hai điểm số này tương quan nghịch (điểm độ sạch cao thường đi kèm điểm rủi ro thấp), nhưng không phải là số bù trừ chính xác của nhau. Chúng được tính theo cách khác nhau: điểm độ sạch là điểm tổng hợp về chất lượng, còn điểm rủi ro nghiêng về việc quyết định đe dọa và chặn IP.

Điểm độ sạch (0–100, càng cao càng sạch) là tổng hợp có trọng số của 6 chiều:

• Độ tin cậy danh tính (20%): Sự nhất quán giữa quốc gia đăng ký của dải IP và quốc gia được xác định qua định vị địa lý, xác thực RPKI, và việc IP có thuộc hạ tầng công cộng đã biết hay không
• Mức độ ẩn danh – chấm ngược (25%): Phát hiện proxy / VPN / Tor / proxy dân cư (càng che giấu kỹ thì bị trừ điểm càng nhiều)
• Lịch sử lạm dụng (20%): Số lượng báo cáo lạm dụng và độ cũ của báo cáo, được đối chiếu chéo từ nhiều nguồn dữ liệu
• Mức độ có mặt trong danh sách đen (15%): 21 nguồn DNSBL, cơ sở dữ liệu honeypot (HTTPBL) và danh sách IP đã biết bị xâm nhập
• Hành vi tấn công (10%): Số lần tấn công ghi nhận trên toàn mạng, phản ánh các bản ghi quét cổng hoặc dò mật khẩu (brute-force) đang hoạt động
• Uy tín nội bộ (10%): Đánh giá uy tín riêng của CleanIP và các sự kiện đe dọa trong 30 ngày qua

Quy đổi sang hạng:

Điểm số không phải kết quả của một trường dữ liệu đơn lẻ — mà là đánh giá tổng hợp từ sáu chiều phối hợp với nhau: danh tính, ẩn danh, lạm dụng, danh sách đen, tấn công và uy tín nội bộ.

Điểm rủi ro là một điểm số riêng, độc lập với điểm độ sạch (0–100, càng cao càng nguy hiểm, ngược chiều với điểm độ sạch). Điểm này dùng riêng cho các quyết định kiểm soát rủi ro trong kinh doanh, như có nên chặn hoặc đưa IP vào danh sách đen hay không:

Dữ liệu kiểm soát rủi ro đến từ giám sát honeypot, báo cáo lạm dụng, danh sách đen DNSBL, phân tích hành vi và nhiều nguồn đa chiều khác. Giá trị rủi ro của một IP sẽ giảm dần theo thời gian khi các bản ghi kiểm soát rủi ro cũ đi.

Lưu ý: Con số lớn ở trang chủ là điểm độ sạch, không phải điểm rủi ro. Điểm độ sạch càng cao càng tốt; điểm rủi ro càng cao càng nguy hiểm.

Điểm rủi ro không gắn trực tiếp với việc IP có phải băng thông rộng gia đình hay không. Nếu một IP gia đình từng bị dùng để quét cổng, dò mật khẩu, cào dữ liệu hoặc tấn công ra ngoài thì điểm rủi ro của nó có thể cao. Ngược lại, ngay cả IP datacenter cũng có thể có điểm rủi ro thấp nếu không có ghi nhận về hành vi độc hại.

Các lý do phổ biến khiến IP gia đình bị điểm cao:

• • Bị "nhiễm bẩn" từ trước — Người dùng trước đó đã chạy lưu lượng proxy, crawler hoặc tấn công trên IP này, và các nguồn dữ liệu vẫn giữ bản ghi
• • Bị gắn cờ cả dải — Có một IP độc hại ở nơi khác trong cùng dải /24, và các nguồn dữ liệu đã gắn cờ cả dải
• • Thiết bị bị xâm nhập — Một thiết bị IoT trong nhà bị chiếm quyền và bị đưa vào botnet
• • Máy khách proxy dân cư — Phần mềm proxy dân cư như ProxyScrape hoặc 911 đang chạy trong mạng

Việc phân loại ở cấp dải IP của CleanIP có độ chính xác tương đối cao. Tuy nhiên, việc sử dụng địa chỉ IP không cố định — mỗi ngày có rất nhiều IP đổi chủ. Độ chính xác dữ liệu nói chung vào khoảng 95%.

Để kiểm tra xem một IP gần đây có đổi chủ hay không, hãy xem mốc thời gian "lần đầu xuất hiện" trong dữ liệu ASN. Nếu dữ liệu của IP này còn mới, điều đó có thể cho thấy quyền sở hữu hoặc trạng thái của nó đã thay đổi.

Xếp hạng an toàn theo nền tảng ước tính xác suất IP này kích hoạt xác minh, hạn chế hoặc bị chặn trong các kịch bản kinh doanh khác nhau. Xếp hạng này tính đến loại IP, rủi ro ẩn danh, mức độ nhất quán về địa lý, lịch sử lạm dụng và mức chịu đựng của từng nền tảng. Có ba mức:

• An toàn: Nhìn chung phù hợp để dùng lâu dài, xác suất bị yêu cầu xác minh thêm thấp
• Rủi ro: Thỉnh thoảng có thể bị yêu cầu xác minh hoặc bị hạn chế
• Chặn: Xác suất bị hạn chế hoặc khóa tài khoản cao

Xếp hạng an toàn theo nền tảng không phải là sự đảm bảo. Lịch sử tài khoản, vân tay trình duyệt/thiết bị, phương thức thanh toán, khu vực và hành vi truy cập đều ảnh hưởng đến kết quả kiểm soát rủi ro cuối cùng.

Mỗi nền tảng có mức độ kiểm soát rủi ro nghiêm ngặt khác nhau:

• Dễ tính (YouTube, X/Twitter, Facebook, thương mại điện tử, game): chủ yếu chỉ để ý Tor, proxy công cộng và lạm dụng nghiêm trọng
• Nghiêm ngặt (Netflix, Disney+, TikTok): chủ động chặn IP datacenter và VPN
• Cấp thanh toán: nhạy cảm hơn với dịch vụ ẩn danh, IP datacenter, sai lệch vị trí địa lý và thiết bị bất thường
• Nền tảng AI: khá nhạy cảm với proxy và IP datacenter

Vân tay trình duyệt (browser fingerprint) thu thập một loạt thuộc tính của trình duyệt và thiết bị (như phiên bản trình duyệt, hệ điều hành, độ phân giải màn hình, phông chữ đã cài, múi giờ và kết quả Canvas/WebGL) rồi kết hợp chúng thành một mã định danh gần như duy nhất, dùng để nhận diện hoặc theo dõi cùng một thiết bị mà không cần cookie.

Các tín hiệu vân tay phổ biến gồm: User-Agent, độ phân giải/độ sâu màu màn hình, múi giờ/cài đặt ngôn ngữ, kết quả render Canvas/WebGL, khác biệt khi đo phông chữ, vân tay âm thanh (audio fingerprint), số luồng xử lý phần cứng, v.v. Ngay cả khi bạn xóa cookie hoặc dùng cửa sổ ẩn danh, vân tay trình duyệt vẫn có thể nhận ra bạn.

Rò rỉ WebRTC xảy ra khi quá trình kết nối WebRTC của trình duyệt (trao đổi ICE candidate) vô tình làm lộ địa chỉ IP nội bộ hoặc IP công cộng thật của bạn — nghĩa là ngay cả khi đang dùng VPN hoặc proxy, website đích vẫn có thể thấy IP thật của bạn.

• Chrome: Cài tiện ích mở rộng "WebRTC Network Limiter" (của Google) hoặc "WebRTC Leak Prevent"
• FirefoxTrên trang about:config, hãy đặt media.peerconnection.enabled thành false

Vân tay JA3 là một vân tay băm (hash) được tạo ra bằng cách phân tích các trường trong thông điệp Client Hello mà máy khách gửi đi khi bắt tay TLS (phiên bản SSL, cipher suite, extension, đường cong elliptic, v.v.), dùng để nhận diện duy nhất cách triển khai của máy khách. Các trình duyệt và ứng dụng khác nhau dùng tổ hợp tham số TLS khác nhau khi thiết lập kết nối HTTPS, và những khác biệt này tạo thành một dạng "vân tay tầng mạng".

JA4 là phiên bản cải tiến của JA3, khắc phục việc JA3 nhạy cảm với thay đổi thứ tự, giúp phân biệt tốt hơn các bản triển khai bị chỉnh sửa nhẹ.

"Dual ISP" chỉ cho biết chủ sở hữu của IP là một ISP — không có nghĩa IP đó thực sự dùng cho băng thông rộng gia đình. Ví dụ, IP 110.242.68.66 do ping baidu.com trả về thuộc China Unicom với loại ASN là ISP, nhưng thực tế đó là một IP máy chủ của Baidu.

Công cụ nhận diện máy chủ của CleanIP dùng rDNS, quét cổng, phân tích banner và các kỹ thuật khác để xác định IP máy chủ thực sự nằm trong mạng ISP, từ đó phân loại chính xác hơn.

CleanIP kết hợp các nguồn thông tin IP thương mại, dữ liệu mạng công khai, cơ sở dữ liệu định tuyến, danh sách đen DNS và dữ liệu hành vi do chính chúng tôi thu thập. Mỗi nguồn bao phủ một chiều khác nhau:

• Định vị và quyền sở hữu ASN
• Phát hiện proxy, VPN, Tor và proxy dân cư
• Báo cáo lạm dụng và bản ghi danh sách đen
• Lưu lượng ASN và hồ sơ mạng
• Định tuyến BGP và lịch sử đăng ký
• Cổng đang mở và vân tay dịch vụ
• Honeypot tự vận hành và giám sát hành vi
• Cơ sở dữ liệu thương hiệu và hạ tầng công cộng được biên soạn thủ công

Khi các nguồn dữ liệu không thống nhất, CleanIP ưu tiên đưa ra kết luận có thể giải thích được và luôn mở kênh phản hồi của người dùng để sửa các mẫu bất thường.

"Người dùng dùng chung" là số ước tính các người dùng khác nhau gắn với một địa chỉ IP, dựa trên việc giám sát và phân tích dữ liệu lớn trên toàn mạng. Một IP được nhiều người dùng chung thường là IP proxy công cộng hoặc VPN.

Do NAT được dùng rất rộng rãi ở Trung Quốc đại lục, một lượng lớn người dùng cuối truy cập internet qua cùng một IP công cộng — đây là hành vi mạng bình thường. Vì vậy, hệ thống mặc định không hiển thị chỉ số người dùng dùng chung cho các địa chỉ IP ở Trung Quốc đại lục.

IP băng thông rộng gia đình thường được đăng ký cố định dưới một ASN và một tổ chức, tỷ lệ thay đổi thấp. Khi ASN hoặc tổ chức sở hữu trong lịch sử của một IP thay đổi thường xuyên, điều đó cho thấy tình trạng sở hữu không ổn định — thường được gọi là IP "bẩn".

Bảng lịch sử ASN và lịch sử công ty cho phép bạn xem rõ mọi bản ghi thay đổi của IP, giúp đánh giá độ ổn định của nó.

Mô-đun thu thập dữ liệu của CleanIP nhận diện các IP thuộc những CDN phổ biến (gồm Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN, v.v.). Nếu bạn chạy reverse proxy trên máy chủ và tên miền được proxy dùng CDN, IP máy chủ của bạn có thể bị nhận diện là IP CDN.

CleanIP thực hiện quét kết nối TCP trên 26 cổng phổ biến của IP đích. Ngoài việc phát hiện cổng đang mở, hệ thống còn:

• Lấy banner: xác định phần mềm cụ thể và phiên bản đang chạy trên các cổng mở
• Ánh xạ CPE: ánh xạ phần mềm đã nhận diện sang mã định danh CPE chuẩn hóa
• Suy luận nhãn: suy ra loại IP từ tổ hợp cổng và dữ liệu CPE (ví dụ: CDN, cơ sở dữ liệu, IoT, v.v.)
• Đối chiếu lỗ hổng CVE: đối chiếu phiên bản phần mềm đã nhận diện với cơ sở dữ liệu lỗ hổng CVE đã biết

CPE (Common Platform Enumeration) là sơ đồ đặt tên phần mềm chuẩn hóa; ví dụ, cpe:/a:nginx:nginx:1.24.0 đại diện cho Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) là mã định danh chuẩn cho các lỗ hổng bảo mật đã biết — ví dụ, CVE-2024-6387 là lỗ hổng thực thi mã từ xa trong OpenSSH. CleanIP tự động đối chiếu phiên bản phần mềm được quét với các CVE mức nghiêm trọng cao đã biết.