RandAddressRandAddress

Агрегированная проверка IP-адреса

Проверка IP-адреса по публичным источникам IP-аналитики, локальным спискам блокировки, данным ASN и геолокационным провайдерам — обзор открытых сигналов риска.

Риск и тип IP

Каждый провайдер проверяет наличие VPN, прокси, Tor, хостинга, нарушителя или оценку риска мошенничества / уверенности по злоупотреблениям.
источников: 6
TN
techniknews
Геолокация плюс простые метки прокси и хостинга от агрегатора TechnikNews.
через браузер
IS
ipapi_is
Геолокация плюс метки VPN / прокси / Tor / хостинга / нарушителя. Анонимный тариф, 1000 запросов в сутки.
через браузер
AB
abuseipdb
Краудсорсинговые сообщения о злоупотреблениях — оценка уверенности 0–100 и общее число сообщений за последние 90 дней.
через прокси на бэкенде
PC
proxycheck
Обнаружение VPN / прокси / Tor в реальном времени с оценкой риска 0–100 и типом соединения.
через прокси на бэкенде
CS
crowdsec
CTI от сообщества — категории репутации (безопасный / подозрительный / вредоносный) и поведение атакующих.
через прокси на бэкенде
VT
virustotal
Агрегатор VirusTotal — более 90 движков голосуют malicious / suspicious / harmless по этому IP. Балл выводится по абсолютному числу malicious-движков: ≥3 — высокий риск (отраслевой порог «подтверждённо плохого» IP).
через прокси на бэкенде

Базы списков блокировки

Криминальная инфраструктура, C2-серверы ботнетов, активные атакующие и выходные узлы Tor.
источников: 6

Геолокация по каждому источнику

Где каждый геолокационный провайдер считает этот IP расположенным.
источников: 2
TN
techniknews
Геолокация плюс простые метки прокси и хостинга от агрегатора TechnikNews.
через браузер
IS
ipapi_is
Геолокация плюс метки VPN / прокси / Tor / хостинга / нарушителя. Анонимный тариф, 1000 запросов в сутки.
через браузер

Как считается оценка

Оценка риска от 0 до 100 в разбивке по классам сигналов.
Уровни рискаДиапазоны оценки, по которым выбирается цвет вердикта.
Безопасно0–15
Низкий16–39
Средний40–69
Высокий70–100
Категории оценкиНа каждой карточке — максимум баллов и самые сильные примеры сигналов.

Списки угроз

макс.90

Курируемая криминальная инфраструктура, C2-серверы ботнетов и диапазоны активных атакующих. Любое совпадение фиксирует вердикт не ниже Высокого.

  • Spamhaus DROP+90
  • Feodo Tracker+90
  • CINS Army+75

Анонимайзер

макс.65

Сигналы VPN, прокси и Tor. Сами по себе анонимные сети не вредоносны, но важны при проверках входа в аккаунт, оплаты или защиты от парсинга.

  • Выходной узел Tor+65
  • Метка прокси+50
  • Метка VPN+45

Репутация

макс.80

Сторонние движки репутации: уверенность AbuseIPDB, многодвижковый анализ VirusTotal, вердикт CrowdSec, риск proxycheck.

  • AbuseIPDB ≥ 75+80
  • VirusTotal ≥ 3 движков malicious+80
  • CrowdSec вредоносный+80

Тип сети

макс.25

Классификация по локальному реестру ASN. Облако / хостинг немного повышает риск; домашний / мобильный — нейтрален.

  • Дата-центр / хостинг+25
  • CDN / DNS / магистраль+12
  • Поисковая система+8

Поведение злоупотреблений

макс.35

Сигналы активного поведения — сканирование, перебор паролей, недавние сообщения о злоупотреблениях, обнаружение ботов.

  • CrowdSec сканирование / перебор+35
  • Метка недавних злоупотреблений+30
  • Статус бота+20

Руководство по типам сетей IP

Как каждый тип сети связан с риском пользовательского трафика.
МинимальныйБлижайший к реальному отдельному пользователю публичный IP.
  • ДомашнийДомашний интернет — самый близкий к реальному пользователю публичный IP. Оговорки: бывают сети резидентных прокси, домашние устройства с вредоносным ПО и общие семейные роутеры.
НизкийРеальные пользователи за общим выходным шлюзом — высокая плотность аккаунтов на одном IP нормальна.
  • КорпоративныйКорпоративный или офисный выход. Реальные сотрудники за общим NAT — с одного IP штатно появляется много легитимных аккаунтов.
  • Мобильная сетьМобильный оператор 4G / 5G. Реальные пользователи, но из-за CGNAT один IP могут разделять тысячи абонентов — высокая плотность аккаунтов на мобильных IP — это норма, не повод подозревать.
  • ОбразованиеШкольная или университетская сеть. В основном реальные учащиеся и сотрудники, но ожидайте лабораторные серверы, студенческие проекты и иногда — самопальный сканер.
  • ГосударствоГосударственная или сеть госсектора. Реальные пользователи; считайте рискованной только если у вашего сервиса есть политические причины не обслуживать государственный трафик.
НеопределённыйНедостаточно данных для классификации — снижает уверенность вердикта, а не повышает риск.
  • НеизвестноASN отсутствует в нашем локальном реестре — недостаточно данных для классификации. Понижайте уверенность вердикта, но не повышайте риск по одному только этому сигналу.
Зависит от контекстаРиск зависит от того, на какой эндпоинт пришёл запрос. Перепроверьте актора, прежде чем доверять IP.
  • Поисковый ботЛегитимно для краулинга контента; подозрительно для входа, регистрации, оплаты или записывающих API. Через обратный DNS проверьте, что это действительно тот бот, за которого себя выдаёт.
Средний–ВысокийВ норме не должен встречаться как клиентский IP — подозревайте прокси, анти-детект инструменты или неверное извлечение IP.
  • CDNКраевые сети CDN в норме не должны появляться как клиентский IP. Если появляются — подозревайте forward-прокси, анти-детект инструмент, подмену заголовков или неверное извлечение клиентского IP.
  • Публичный DNSПубличные DNS-резолверы не должны появляться в логах посетителей сайта. Те же красные флаги, что и у CDN — прокси, подмена заголовков или неверное извлечение IP.
ВысокийIP серверного класса. Сильно коррелируют с ботами, парсерами и массовой автоматизацией.
  • МагистральМагистральный или транзитный провайдер уровня Tier-1. Практически никогда не является прямой линией конечного пользователя.
  • Дата-центрIP облака или дата-центра. Частая история — боты, парсеры, credential stuffing и массовые регистрации. Но также легитимные корпоративные VPN, dev-окружения и облачные рабочие столы — одной этой метки недостаточно для блокировки.
  • ХостингМеньший VPS или провайдер выделенного хостинга. Сильнее, чем основные облака, склоняется к серверному использованию — высоко коррелирует с автоматизацией и злоупотреблениями.

Часто задаваемые вопросы о проверке IP

Мы перекрёстно проверяем IP по трём бесплатным публичным геолокационным провайдерам (FreeIPAPI, TechnikNews, ipapi.is), четырём движкам репутации через наш бэкенд (AbuseIPDB, VirusTotal, CrowdSec CTI, proxycheck.io) и шести локальным спискам блокировки (Spamhaus DROP, Spamhaus ASN-DROP, Feodo Tracker, CINS Army, Blocklist.de, Tor Project Bulk Exit). Агрегация этих данных даёт в одном вердикте геолокацию, тип ASN, метки VPN / прокси / Tor, сигналы злоупотреблений и многодвижкового threat-intel, а также совпадения по спискам блокировки.
Домашний IP принадлежит провайдеру домашнего интернета (Comcast, BT и т. п.) и обычно назначен реальному домашнему роутеру. IP дата-центра принадлежит облачному или хостинг-провайдеру (AWS, Google Cloud, Hetzner, OVH) и почти всегда соответствует серверу, автоматизации, выходу VPN или прокси — а не человеку за клавиатурой. Мы классифицируем IP по 12 категориям локального реестра ASN (домашний / мобильный оператор / корпоративная сеть / дата-центр / хостинг / CDN / DNS-резолвер / поисковая система / магистраль / образование / государство / неизвестно), чтобы сразу видеть, реальный ли это пользователь или просто сервер.
Да. Все источники, которые мы запрашиваем, принимают и IPv4, и IPv6 — просто вставьте адрес в поле поиска. Учтите, что для части диапазонов IPv6 данных репутации меньше, чем для IPv4 (адресное пространство огромно), поэтому уверенность для IPv6 может быть чуть ниже.
Это курируемые списки IP (или целых сетей), связанных с известной вредоносной активностью. Мы перекрёстно проверяем ваш IP по шести независимым источникам: Spamhaus DROP (IPv4 + IPv6 сети под прямым контролем киберпреступников); Spamhaus ASN-DROP (целые автономные системы под управлением враждебных сетей — сопоставляется по номеру AS, а не по IP); Feodo Tracker (командные серверы ботнетов Emotet / Dridex / TrickBot / QakBot); CINS Army (IP, активно сканирующие, перебирающие пароли или эксплуатирующие серверы); Blocklist.de (отчёты ловушек об атакующих IP за последние 48 часов); Tor Project Bulk Exit (публикуемые выходные узлы Tor — совпадение означает, что IP может выйти из сети Tor, а не то, что пользователь вредоносный). Все сравнения выполняются локально в вашем браузере; ваш IP не отправляется этим провайдерам.