Puntuación de dominio e IP

  

¿Qué cosas son las más importantes?

Realmente no sabes mucho de una dirección IP. Lo primero que se debe tener en cuenta es que una dirección IP no es lo mismo que un usuario, particularmente (y cada vez más) con direcciones IPv4. Si tiene una cantidad significativa de tráfico y patrones de fraude identificables, entonces puede comenzar a crear su propia base de datos de reputación.

Algunos puntos clave son:

• no utilice direcciones IP: use netblocks de la búsqueda whois
• Puede ser ventajoso diferenciar por geografía, al menos a nivel de país, hay listas gratuitas de bloques de red por país.
• tenga cuidado con las redes pequeñas (hasta / 10), usualmente son servidores que no son usuarios finales
• si tiene un mecanismo de autenticación, entonces haga un seguimiento de los netblocks que utilizan los clientes individuales: aplique una autenticación adicional cuando se acceda desde una red que no se haya visto en las interacciones N / las últimas M semanas para este cliente
• es posible que los servicios de reputación no tengan un gran beneficio, aparte de los listados de remitentes de correo no deseado (spammer), estos suelen ser completados por organizaciones que ejecutan servicios que pueden estar sujetos a grandes pérdidas. Si no está ejecutando un sistema de pago / banca en línea, entonces estará apuntado de una manera muy diferente
• use el tiempo (en el cliente) para determinar el riesgo (¿el cliente A generalmente accede al sistema entre las 11 p.m. y las 6 am?)
• si es posible, compruebe que la hora local en el cliente coincida con la zona horaria esperada para la dirección IP
• tenga cuidado con varios usuarios desde la misma dirección IP: una vez que el usuario se haya autenticado en una dirección IP, aplique comprobaciones adicionales para las siguientes X unidades de tiempo para diferentes usuarios de la misma dirección IP

No he especificado valores exactos para M, N y X; idealmente, estos deberían ser ajustables por red, diferenciando entre proveedores de ADSL / Cable, proveedores de redes móviles, ubicaciones en el extranjero y otros.

Rastrea los fallos de autenticación: estos son tu primer nivel de detección de abuso.

¿Está hablando de algo como SiteAdvisor ?

Realizan descargas automáticas y escaneos de malware, vinculan la reputación con otros dominios ya probados, envían correos electrónicos de spam y explotan los navegadores. Desafortunadamente, prácticamente mataron a su comunidad de usuarios, pero eso también fue una buena fuente de información.