Репутация
Категории репутационных сигналов и различия между адресом и сводным отчётом.
Репутация показывает найденные сигналы по адресу или группе адресов. Сигнал не является доказательством вины владельца IP: адрес мог быть общим, динамическим или использоваться посторонним. Для решения учитывайте время, собственные журналы и характер события.
Поля IP-отчёта
| Строка | Что означает категория |
|---|---|
| Атаки | Сигналы об атакующей активности. |
| Брутфорс | Попытки массового подбора учётных данных или доступа. |
| Ботнет (C2) | Сигналы о командной инфраструктуре ботнета. Не следует путать с обычным автоматизированным клиентом. |
| Раздача вредоносного ПО | Распространение вредоносного содержимого. |
| Массовое сканирование | Массовая проверка сетевых адресов, портов или сервисов. |
| Массовые регистрации | Массовое создание учётных записей или похожая активность. |
| Угнанная сеть | Сигналы об использовании перехваченного адресного пространства. Это отдельная категория, а не автоматический вывод из любого неверного RPKI. |
| Почтовый спам | Нежелательная массовая почтовая рассылка. |
| Нежелательный обход | Автоматизированный обход, классифицированный как нежелательный. |
| Заражённая машина | Сигналы о заражённом узле. Это отличается от управляющего сервера ботнета. |
Число в IP-отчёте — количество различных записей-источников, подтверждающих категорию; повторы одного источника схлопываются. Это не обязательно независимые подтверждения и не количество атак, жалоб, жертв или дней активности. Для «Массового сканирования» отдельно подсчитываются совпадения с известными сканерами. Категории могут пересекаться. Ноль и отсутствие данных — разные ситуации; прочерк, в частности, используется для скрытых значений.
Поля диапазона, AS и оператора
| Строка | Что показано |
|---|---|
| Спам | Сводный показатель адресов категории спама. |
| Атаки | Сводный показатель адресов с атакующей активностью. |
| Брутфорс | Адреса с признаками перебора доступа. |
| Ботнет (C2) | Адреса с сигналами об управляющей инфраструктуре. |
| Вредоносное ПО | Адреса с соответствующими репутационными сигналами. |
| Другое | Прочие сигналы сводной классификации. |
Сводные показатели — количества уникальных IPv4-адресов с признаком. Они могут учитывать целиком помеченные диапазоны. Набор категорий в этих карточках пока отличается от IP-отчёта. Нельзя ожидать отдельной строки для каждого IP-признака или восстанавливать сводку простым сложением IP-показателей. Оценка рядом с количеством — относительная распространённость, см. Числа и оценки.
Отсутствие негативного маркера не означает «безопасен». Даже положительный маркер сообщает только о проверенных категориях в доступных данных и не является разрешением доверять любому запросу.
Репутация сети не переносится автоматически на каждый её адрес. Подробнее: Репутация блока, Что делать с репутационной отметкой.
Маркеры этого раздела
Маркер относится к указанному объекту; он может быть унаследован на странице более частного объекта. Полный перечень, цвета и области действия — в справочнике маркеров.
| Маркер | Объяснение |
|---|---|
Адрес числится центром управления ботнетом / Управляющие серверы ботнета (botnet_c2) |
Есть сигналы о командной инфраструктуре ботнета у IP или адресов диапазона. Не следует переносить вывод на каждый соседний IP. |
В списках угроз не числится (clean_reputation) |
В проверяемом наборе данных для AS или оператора не найдены соответствующие попадания. Не сертификат безопасности и не обязательный маркер любого IP без сигналов. |
Много соседей по сети в списках угроз / Есть адреса в списках угроз (reputation_listed) |
У AS или оператора есть адреса с репутационными сигналами. Унаследованный маркер на IP не обвиняет сам IP. |
Адрес в списках угроз / Адреса в списках угроз (threat_listed) |
У адреса либо адресов диапазона есть репутационные сигналы. Цвет зависит от варианта и уровня отчёта; категории могут пересекаться. |