Che cos’è un ASN: guida pratica per network engineer

Che cos’è un ASN? Capire gli Autonomous System Number

Chi lavora nella sicurezza di rete ha a che fare ogni giorno con indirizzi IP: li blocca, li monitora, ne analizza il comportamento. Ma un indirizzo IP, da solo, è poco più di un numero. Per capire da dove arriva davvero una connessione e quale livello di rischio può comportare, serve contesto. Uno degli elementi più importanti di questo contesto è l’Autonomous System Number, cioè l’ASN.

Un Autonomous System (AS) è un insieme di reti IP e di policy di routing controllate da un’unica entità amministrativa. In pratica, possiamo immaginarlo come un operatore di rete distinto: un Internet Service Provider (ISP), una grande azienda, un provider cloud, un’università. A ogni AS viene assegnato un Autonomous System Number (ASN) univoco dai registri internet regionali (RIR), come ARIN, RIPE NCC o APNIC.

Gli ASN sono fondamentali per il Border Gateway Protocol (BGP), il protocollo di routing che consente a internet di funzionare su scala globale. I router BGP scambiano informazioni di instradamento tra AS diversi, permettendo al traffico di attraversare la rete nel modo più efficiente possibile. Senza ASN, BGP non sarebbe in grado di distinguere i diversi operatori di rete e internet perderebbe la sua architettura di routing di base.

Perché gli ASN sono importanti per la sicurezza di rete

Dal punto di vista della sicurezza, un ASN è un identificatore prezioso dell’infrastruttura di rete che sta dietro a un indirizzo IP. Permette di:

• Identificare l’operatore di rete: conoscere l’ASN aiuta a capire chi possiede o gestisce il blocco di rete a cui appartiene un indirizzo IP. Si tratta di un grande ISP, di un provider datacenter, di un cloud provider o di un’azienda privata?
• Inquadrare il comportamento degli IP: tipologie diverse di ASN tendono ad avere profili di rischio diversi. Gli IP provenienti da ASN noti come datacenter sono più spesso associati a VPN, proxy o infrastrutture malevole rispetto agli IP di ISP residenziali legittimi.
• Supportare la geolocalizzazione: l’ASN non è uno strumento di geolocalizzazione in senso stretto, ma le informazioni di registrazione spesso includono l’indirizzo dell’entità che gestisce la rete, offrendo un’indicazione geografica di alto livello.
• Arricchire la threat intelligence: correlare gli indicatori di minaccia con gli ASN consente di individuare reti o operatori che ricorrono con frequenza in attività malevole. Se uno specifico ASN viene associato in modo ricorrente a spam, attacchi DDoS o distribuzione di malware, gli IP appartenenti a quell’AS possono essere valutati con un profilo di rischio più alto.

Analizzare un ASN: esempi pratici di lookup

Vediamo alcuni esempi concreti per capire come gli ASN aggiungano contesto utile all’analisi di un indirizzo IP.

Esempio 1: un comune IP residenziale

Prendiamo un indirizzo IP come 173.23.100.1.

Un lookup su questo IP potrebbe restituire informazioni simili a queste:

• ASN: AS7018
• Organization: AT&T Services, Inc.
• Country: US
• Type: ISP (Internet Service Provider)

Indicazione di sicurezza: AS7018, gestito da AT&T Services, Inc., è un grande ISP Tier-1 molto conosciuto. Un IP proveniente da questo ASN è con buona probabilità una connessione residenziale o business legittima. Naturalmente anche un IP residenziale può essere compromesso, ma il rischio di trovarsi davanti a proxy o VPN è in genere più basso rispetto a un IP di datacenter. Un’attività sospetta da un indirizzo di questo tipo fa pensare più spesso a un dispositivo utente compromesso che non a una rete nata per offrire servizi proxy.

Esempio 2: un IP di datacenter o cloud provider

Ora consideriamo 18.156.128.1.

Un lookup potrebbe mostrare:

• ASN: AS16509
• Organization: Amazon.com, Inc.
• Country: US
• Type: Cloud/Datacenter

Indicazione di sicurezza: AS16509 appartiene ad Amazon.com, Inc., nello specifico ai servizi cloud AWS. Gli IP in questo intervallo sono, nella grande maggioranza dei casi, IP di datacenter. Sono utilizzati per ospitare siti web, applicazioni cloud e servizi legittimi, ma anche — purtroppo — VPN, proxy, nodi di uscita TOR e altre infrastrutture di anonimizzazione o potenzialmente malevole. Quando un IP appartenente a questo ASN prova ad accedere ai vostri servizi, è ragionevole attivare un primo campanello d’allarme: potrebbe trattarsi di traffico automatizzato, strumenti di anonimizzazione o persino di un C2 di botnet. In ottica antifrode e controllo degli accessi, il rischio associato a questi IP è generalmente più elevato.

Esempio 3: un IP di un provider proxy/VPN noto

Prendiamo 192.169.196.1.

Una piattaforma avanzata di IP intelligence potrebbe restituire:

• ASN: AS26496
• Organization: Global Layer B.V.
• Country: NL
• Type: Hosting/Datacenter
• Additional Signal: Known Proxy/VPN Provider (Flagged)

Indicazione di sicurezza: AS26496, gestito da Global Layer B.V., è associato a un provider di hosting. Questo non lo rende automaticamente malevolo, ma alcuni provider di hosting vengono scelti più spesso da servizi VPN/proxy per caratteristiche infrastrutturali, costi o policy operative. Un servizio di IP intelligence come guarda.net può spingersi oltre, mantenendo elenchi aggiornati di ASN e range IP noti per ospitare questo tipo di servizi. Quando un IP appartenente a un ASN del genere viene segnalato come proxy/VPN noto, la valutazione del rischio cresce in modo significativo, soprattutto se le vostre policy limitano l’accesso da fonti anonime o mascherate.

I limiti dei soli dati ASN

Per quanto utili, i dati ASN sono solo una parte del quadro. Aiutano a classificare il tipo di rete, ma non raccontano tutto su un singolo indirizzo IP. Ecco i principali limiti:

• Granularità: un ASN può rappresentare una rete enorme. Un singolo ASN può includere milioni di indirizzi IP distribuiti in più regioni. Per attribuire un’attività malevola a uno specifico IP servono dati più granulari.
• Potenziale abuso: anche gli ISP legittimi possono avere utenti compromessi o tollerare alcuni tipi di traffico problematico. Allo stesso modo, un ASN di datacenter può ospitare applicazioni perfettamente lecite.
• Natura dinamica: gli ASN sono relativamente stabili, ma le assegnazioni degli indirizzi IP al loro interno possono cambiare, per esempio tramite DHCP negli ambienti residenziali. L’uso attuale di un IP può essere diverso da quello passato.
• Scarsa specificità: un ASN non dice se un IP è in questo momento un nodo di uscita TOR, un web scraper o parte di una botnet. Per questo servono rilevamento in tempo reale e blacklist specializzate.

Combinare l’ASN con altri segnali per una IP intelligence più solida

Per superare questi limiti e costruire un sistema di IP intelligence davvero affidabile, gli ASN vanno correlati con altri segnali. Tra i più importanti:

• Reverse DNS (rDNS) Hostname: un record rDNS come ec2-18-156-128-1.eu-central-1.compute.amazonaws.com conferma con forza la presenza di un’istanza cloud. Un hostname generico come broadband-client.att.net suggerisce invece una connessione residenziale.
• Hosting Range Detection: l’IP fa parte di un blocco dedicato all’hosting cloud o di un range residenziale?
• TOR Exit List Membership: l’IP è attualmente presente in una lista di nodi di uscita TOR?
• Proxy/VPN Detection: l’IP mostra caratteristiche tipiche del traffico proxy o VPN, indipendentemente dal suo ASN?
• IP Risk Score: un punteggio aggregato che combina tutti i segnali disponibili — tipo di ASN, rDNS, stato hosting, blacklist, segnalazioni recenti di abuso — in una metrica unica e facilmente utilizzabile.

Sovrapponendo questi segnali, si passa da una comprensione generale fornita dall’ASN a una valutazione del rischio molto più specifica e operativa. Per esempio, un IP proveniente da un ASN di datacenter (AS16509) che presenta anche un rDNS generico, compare in una lista di nodi di uscita TOR e ha un risk score elevato offre un profilo di minaccia molto più chiaro rispetto alla sola conoscenza del suo ASN.

Capire che cos’è un ASN e come interpretarlo è una competenza di base per chiunque si occupi di sicurezza di rete. È il primo passo per contestualizzare un indirizzo IP e prendere decisioni più informate su access control, threat hunting e prevenzione delle frodi. Per analizzare in modo più approfondito indirizzi IP specifici, relativi ASN e altri segnali di rischio, potete utilizzare il controllo IP gratuito disponibile nella homepage di guarda.net.