Rapport sur les ASN et les réseaux

Un système autonome (AS) est un ensemble d’adresses IP géré selon une politique de routage unique, généralement par une société d’hébergement, un fournisseur d’accès à Internet ou une grande organisation, et identifié par un numéro AS tel que AS14061. Le rapport « ReportedIP ASN » indique combien d’adresses de ce réseau apparaissent dans les données de notre communauté, pour quelles raisons elles ont été signalées et quelle est la position de ce réseau par rapport à l’ensemble des réseaux que nous répertorions.

Une adresse isolée ne vous renseigne que sur une seule machine. C'est le réseau dans lequel elle se trouve qui vous renseigne sur l'opérateur : s'il s'agit d'un abus accidentel ou d'un modèle économique, s'il s'agit d'un grand hébergeur comptant quelques locataires malveillants ou d'une petite plage d'adresses où presque toutes les adresses ont fait l'objet d'un signalement.

Ces réseaux sont appelés « systèmes autonomes » et sont identifiés par un numéro AS. Ce rapport prend une adresse ou un numéro AS et décrit l’ensemble du réseau qui se cache derrière.

Considérés isolément, les nombres totaux de signalements donnent l’impression que toutes les grandes sociétés d’hébergement sont des entreprises criminelles. Un fournisseur comptant un million de clients recevra toujours plus de signalements qu’une plage de dix adresses, sans que cela ne dise quoi que ce soit sur la façon dont il est géré.

Le rapport compare donc trois éléments : le nombre d’adresses du réseau figurant dans nos données, le nombre moyen de Reports enregistrés par chacune de ces adresses, et la position du réseau par rapport à tous les autres réseaux que nous connaissons. Un vaste réseau avec peu de Reports par adresse se présente très différemment d’un petit réseau où chaque adresse fait l’objet de Reports constants, et c’est cette différence qui constitue la véritable conclusion.

La base de données communautaire qui sous-tend l’API ReportedIP, alimentée par des honeypots et par des installations de fail2ban signalant les attaques au fur et à mesure qu’elles se produisent. Il s’agit des mêmes données que celles consultées par les clients de notre API.

Le rapport est agrégé par réseau. Les adresses individuelles ne sont pas répertoriées ici ; pour une adresse unique, il existe plutôt la recherche d’adresse.

Une adresse est d’abord associée au réseau auquel elle appartient, puis le rapport est établi pour l’ensemble de ce réseau : le nombre d’adresses qui nous sont connues, les Reports qu’elles contiennent, le Confidence Score moyen et l’activité la plus récente. Un numéro AS peut être saisi directement, avec ou sans le préfixe AS.

Un simple décompte brut de signalements n’est guère significatif en soi. Un grand fournisseur de services cloud génère un nombre élevé de signalements simplement en raison de sa taille, tandis qu’un petit réseau, avec une fraction de ce nombre, peut présenter une situation bien pire par adresse. Le rapport compare donc deux chiffres pour chaque réseau figurant dans les données : le nombre d’adresses connues et le nombre de signalements associés à chacune d’entre elles. C’est l’écart entre ces deux chiffres qui distingue un grand fournisseur d’un réseau d’abus concentré.

Le rapport porte sur le réseau, et en aucun cas sur ses adresses individuelles : aucune liste d’adresses n’est fournie ici, par choix. Chaque adresse est consultée sur sa propre page. La répartition par Threat Category est calculée à partir d’un échantillon des Threat Reports les plus récents concernant les adresses les plus actives du réseau, car le comptage de chaque Threat Report pour un réseau comptant des centaines de milliers d’adresses prendrait une éternité ; la taille de l’échantillon est indiquée avec le résultat.

Nous ne voyons que ce que la communauté signale. Un réseau qui n’apparaît pas ici ne nous a pas été signalé, ce qui est un bon signe, mais ne signifie pas pour autant qu’il n’y a aucun problème.