Was ist eine ASN? Ein Leitfaden für Netzwerk- und Security-Teams

What is an ASN? Understanding Autonomous System Numbers

Wer in der Netzwerksicherheit arbeitet, hat täglich mit IP-Adressen zu tun. Wir blockieren sie, überwachen sie und versuchen, ihr Verhalten einzuordnen. Doch eine IP-Adresse allein ist zunächst nur eine Nummer. Um besser zu verstehen, woher eine Verbindung kommt und welche Absicht dahinterstehen könnte, brauchen wir Kontext. Einer der wichtigsten Bausteine dafür ist die Autonomous System Number (ASN).

Ein Autonomous System (AS) ist ein Verbund von IP-Netzen und Routing-Richtlinien, der von einer administrativen Einheit kontrolliert wird. Praktisch kann man sich darunter einen eigenständigen Netzbetreiber vorstellen: etwa einen Internet Service Provider (ISP), einen großen Konzern oder eine Universität. Jedes AS erhält von regionalen Internet Registries (RIRs) wie ARIN, RIPE NCC oder APNIC eine eindeutige Autonomous System Number (ASN).

Diese ASNs sind zentral für das Border Gateway Protocol (BGP), also jenes Routing-Protokoll, das den Datenverkehr im Internet überhaupt erst möglich macht. BGP-Router tauschen Routing-Informationen zwischen Autonomous Systems aus und sorgen so dafür, dass Pakete effizient durch das globale Netz geleitet werden. Ohne ASNs könnte BGP die unterschiedlichen Netzbetreiber nicht sauber voneinander unterscheiden. Dem Internet würde damit eine seiner grundlegenden Routing-Strukturen fehlen.

Why ASNs Matter for Network Security

Aus Security-Sicht ist eine ASN ein wichtiger Hinweis darauf, welche Netzwerkinfrastruktur hinter einer IP-Adresse steht. Sie hilft dabei:

• Den Netzbetreiber zu identifizieren: Die ASN zeigt, wer den Netzblock betreibt, zu dem eine IP-Adresse gehört. Handelt es sich um einen großen ISP, einen Datacenter-Anbieter, einen Cloud-Provider oder ein privates Unternehmensnetz?
• IP-Verhalten besser einzuordnen: Unterschiedliche ASN-Typen haben unterschiedliche Risikoprofile. IPs aus bekannten Datacenter-ASNs werden deutlich häufiger für VPNs, proxies oder schädliche Infrastruktur genutzt als IPs aus klassischen Privatkunden-Netzen seriöser ISPs.
• Geografische Hinweise zu gewinnen: Eine ASN ist kein präzises Geolocation-Werkzeug. Die Registrierungsdaten enthalten aber häufig die Anschrift der betreibenden Organisation und liefern damit zumindest einen groben geografischen Kontext.
• Threat Intelligence anzureichern: Wenn Bedrohungsdaten mit ASNs korreliert werden, lassen sich ganze Netze oder Betreiber erkennen, aus denen wiederholt schädliche Aktivitäten stammen. Wird eine bestimmte ASN immer wieder mit Spam, DDoS-Angriffen oder Malware-Verteilung in Verbindung gebracht, kann für IPs aus diesem AS ein höheres Risiko angesetzt werden.

Dissecting an ASN: Practical Lookups

Ein Blick auf konkrete Beispiele zeigt, wie viel Kontext ASNs in der Praxis liefern können.

Example 1: A Common Residential IP

Nehmen wir eine IP-Adresse wie 173.23.100.1.

Ein Lookup zu dieser IP könnte etwa folgende Informationen liefern:

• ASN: AS7018
• Organization: AT&T Services, Inc.
• Country: US
• Type: ISP (Internet Service Provider)

Security Insight: AS7018 wird von AT&T Services, Inc. betrieben und gehört zu einem sehr großen, etablierten Tier-1-ISP. Eine IP aus dieser ASN ist mit hoher Wahrscheinlichkeit ein regulärer Privatkunden- oder Geschäftskundenanschluss. Natürlich können auch Endgeräte in solchen Netzen kompromittiert sein. Das Grundrisiko für proxy- oder VPN-Nutzung ist hier aber niedriger als bei einer typischen Datacenter-IP. Verdächtige Aktivität von einer solchen IP deutet daher eher auf ein kompromittiertes Nutzergerät hin als auf ein Netzwerk, das selbst als proxy service betrieben wird.

Example 2: A Datacenter/Cloud Provider IP

Betrachten wir nun 18.156.128.1.

Ein Lookup könnte Folgendes zeigen:

• ASN: AS16509
• Organization: Amazon.com, Inc.
• Country: US
• Type: Cloud/Datacenter

Security Insight: AS16509 gehört zu Amazon.com, Inc., konkret zu den AWS-Cloud-Diensten. IPs in diesem Bereich sind überwiegend Datacenter-IPs. Sie werden ganz legitim für Websites, Cloud-Anwendungen und Backend-Services genutzt, leider aber auch häufig für VPNs, proxies, TOR exit nodes, Anonymisierungsdienste oder schädliche Infrastruktur. Wenn eine IP aus dieser ASN auf Ihre Dienste zugreift, ist das ein erstes Signal für möglichen automatisierten Traffic, Anonymisierung oder auch Botnet-C2-Kommunikation. Für Fraud Detection und Access Control ist das Risiko einer solchen IP in der Regel höher zu bewerten.

Example 3: A Known Proxy/VPN Provider IP

Schauen wir auf 192.169.196.1.

Eine umfassende IP-Intelligence-Plattform könnte dazu zurückgeben:

• ASN: AS26496
• Organization: Global Layer B.V.
• Country: NL
• Type: Hosting/Datacenter
• Additional Signal: Known Proxy/VPN Provider (Flagged)

Security Insight: AS26496 wird von Global Layer B.V. betrieben, einem Hosting-Anbieter. Hosting-Provider sind nicht per se problematisch. Einige werden jedoch wegen ihrer Infrastruktur und Policies besonders häufig von VPN- oder proxy-Diensten genutzt. Ein IP-Intelligence-Dienst wie Guarda kann hier weitergehen und ASNs sowie IP-Ranges pflegen, die bekanntermaßen solche Dienste hosten. Wird eine IP aus einer solchen ASN zusätzlich als bekannter proxy/VPN-Anbieter markiert, steigt die Risikobewertung deutlich, insbesondere wenn Ihre Richtlinien Zugriffe aus solchen Quellen einschränken.

The Limits of ASN Data Alone

So wertvoll ASN-Daten sind: Sie sind nur ein Teil des Gesamtbildes. Eine ASN hilft dabei, den Typ eines Netzes zu kategorisieren. Sie erzählt aber nicht automatisch die vollständige Geschichte einer einzelnen IP. Zu den wichtigsten Grenzen gehören:

• Granularität: Eine ASN kann ein riesiges Netz repräsentieren. Ein einzelnes AS kann Millionen von IP-Adressen über verschiedene Regionen hinweg umfassen. Um konkrete schädliche Aktivität einer einzelnen IP zuzuordnen, braucht es feinere Daten.
• Missbrauchspotenzial: Auch seriöse ISPs können kompromittierte Nutzer haben oder bestimmte Arten von Traffic dulden. Umgekehrt kann eine Datacenter-ASN völlig legitime Anwendungen hosten.
• Dynamik: ASNs sind relativ stabil, IP-Zuweisungen innerhalb einer ASN können sich aber ändern, etwa durch DHCP bei Privatkundenanschlüssen. Die aktuelle Nutzung einer IP kann sich von ihrer früheren Nutzung unterscheiden.
• Fehlende Spezifität: Eine ASN verrät nicht, ob eine IP aktuell ein TOR exit node ist, als Web Scraper auftritt oder Teil eines Botnets ist. Dafür braucht es Echtzeit-Erkennung und spezialisierte Blacklists.

Combining ASN with Other Signals for Robust IP Intelligence

Um diese Grenzen auszugleichen und belastbare IP Intelligence aufzubauen, sollten ASNs immer mit weiteren Signalen kombiniert werden. Besonders relevant sind:

• Reverse DNS (rDNS) Hostname: Ein rDNS-Eintrag wie ec2-18-156-128-1.eu-central-1.compute.amazonaws.com bestätigt sehr klar eine Cloud-Instanz. Ein generischer Eintrag wie broadband-client.att.net spricht dagegen eher für einen Privatkundenanschluss.
• Hosting Range Detection: Gehört die IP zu einem Block, der für Cloud-Hosting reserviert ist, oder zu einem Residential-Block?
• TOR Exit List Membership: Wird die IP aktuell als TOR exit node geführt?
• Proxy/VPN Detection: Zeigt die IP Merkmale von proxy- oder VPN-Traffic, unabhängig von ihrer ASN?
• IP Risk Score: Ein aggregierter Score, der bekannte Signale wie ASN-Typ, rDNS, Hosting-Status, Blacklists und aktuelle Abuse-Meldungen zu einer handlungsfähigen Kennzahl zusammenführt.

Durch die Kombination dieser Signale entsteht aus der groben Einordnung über die ASN eine deutlich präzisere und praktisch nutzbare Risikobewertung. Eine IP aus einer Datacenter-ASN (AS16509), die zusätzlich einen generischen rDNS-Eintrag hat, auf einer TOR exit list steht und einen hohen Risk Score aufweist, liefert ein wesentlich klareres Bedrohungsprofil als die ASN allein.

Zu verstehen, was eine ASN ist und wie sie interpretiert wird, gehört zu den Grundlagen moderner Netzwerksicherheit. Sie ist der erste Schritt, um eine IP-Adresse in den richtigen Kontext zu setzen und fundiertere Entscheidungen bei Access Control, Threat Hunting und Fraud Prevention zu treffen. Wer einzelne IP-Adressen mitsamt ASN und weiteren Risikosignalen genauer prüfen möchte, kann dafür den kostenlosen IP-Check auf der Guarda-Homepage nutzen.