IPv6時代のproxy検知：IPインテリジェンスは何が変わるのか

広がるアドレス空間：IPv6がIPインテリジェンスにもたらす影響

長年にわたり、IPv4のアドレス不足はNetwork Address Translation（NAT）やproxyサービスの利用を広げる大きな要因になってきました。一方で、モバイルネットワークやISPを中心にIPv6の導入が着実に進むなか、proxy、VPN、TOR出口ノードなどの不審な通信を識別するIPインテリジェンス基盤にも、新しい前提が生まれています。

本稿では、IPv6によってIP proxy検知の基本的な考え方がどのように変わるのか、あるいは変わらないのかを、実務で使われる主要なシグナルに沿って整理します。

主要なシグナルは引き続き有効

不審なIPアドレスやサービスを見分けるために使われてきた多くのシグナルは、IPv6でも基本的に有効です。ただし、いくつかIPv6ならではの見方が必要になります。

• Autonomous System Number（ASN）と組織情報： ASNは、IPブロックの所有者や運用主体を把握するうえで今も重要な識別子です。IPv4であってもIPv6であっても、その通信が住宅向けISPから来ているのか、クラウド事業者、ホスティング事業者、あるいは企業ネットワークから来ているのかを分類する手がかりになります。データセンターやホスティング事業者のASNは、IPバージョンに関係なく、非住宅系トラフィックを示す強いシグナルです。たとえば、AS15169（Google）やAS16509（Amazon）に属するIPv6アドレスは、IPv4の場合と同様にクラウドインフラ由来である可能性を示します。

• Reverse DNS（rDNS）ホスト名： rDNSも引き続き有力な判断材料です。適切に設定されたrDNSレコードは、そのIPアドレスの正当な用途を推測する助けになります。IPv6でも、見るべきポイントはパターンです。たとえば、2a03:2880:f12f:83:face:b00c:0:25de.ipv6.google.com（実在するGoogleのIPv6 rDNS）のようなレコードは、大規模な正規ネットワークでは自然に見られます。一方で、ip-2a03-b0c0-1-0-0-0-0-2.hostingprovider.comのような汎用的なrDNSや、非住宅系レンジにもかかわらずrDNSが存在しないケースは、proxy利用を疑う材料になります。侵害されたサーバーや短時間で作成されたクラウドインスタンスを使う攻撃者は、rDNS設定を放置していることも多く、デフォルトの汎用形式のままになっている場合もあります。

• ホスティング事業者・データセンター分類： このシグナルは、IPv4とIPv6の双方で特に安定して有効です。IPアドレスは、住宅向けISP、企業、ホスティング／データセンター事業者のいずれかに割り当てられています。IPインテリジェンスプラットフォームは、IPv4およびIPv6のブロック割り当てに関する大規模なデータベースを維持し、この分類を行います。既知のデータセンターレンジに属するIPv6アドレスであれば、プロトコルの違いに関係なくデータセンター由来として扱われます。通常の住宅ユーザーがデータセンターIPから接続してくることはほとんどないため、この分類は非常に重要です。

• TOR出口ノードリスト： TorネットワークはIPv4とIPv6の両方で動作します。Tor出口ノードは公開情報として把握されており、IPv4アドレスとIPv6アドレスのリストが維持されています。IPインテリジェンスサービスは、これらのリストを継続的に取り込み、更新しています。着信接続のIPバージョンにかかわらず、現在のTor出口リストに一致すれば、Tor経由の通信として識別できます。

• ブラックリストとレピュテーション： ブラックリストは個別のIPアドレスを単位に作られることが多いものの、レピュテーションスコアリングやブラックリスト登録の考え方はIPv4とIPv6で共通です。あるIPv6アドレスがボットネット参加、スパム送信、クレデンシャルスタッフィングなどの不正行為に関与していると観測されれば、IPv4と同じように関連するブラックリストに追加され、低いレピュテーションとして評価されます。現時点では悪性IPv6トラフィックの量はIPv4より少ないものの、基本原則は変わりません。

IPv6 proxy検知で新たに考慮すべき点

基本的なシグナルは有効である一方、IPv6には固有の難しさや注意点もあります。

• 一時性とサブネットサイズ： IPv6のサブネットは非常に広大です。たとえば/64には18 quintillion、つまり膨大な数のアドレスが含まれます。実質的に無尽蔵ともいえるアドレス空間により、IPアドレスは一時的かつユニークになりやすくなります。IPv4ではNAT配下で複数ユーザーが同じIPを共有することが一般的でしたが、IPv6では各デバイスが個別のグローバルIPv6アドレスを持つケースが増えます。共有IPに起因する「ノイズ」は減る一方、攻撃者が大きな/64や類似の割り当て内で頻繁にアドレスを切り替える場合、不正利用の_パターン_を見つけにくくなる可能性があります。

• 広範なスキャン／列挙の難しさ： IPv6空間はあまりにも広いため、SOCKS5やHTTP/Sのようなオープンproxyを網羅的にスキャンして列挙することは、IPv4に比べてはるかに困難です。これはIPv6のオープンproxyが存在しないという意味ではありません。ただし、攻撃者が偶発的な大規模スキャンで見つけるというより、脆弱なサービスの悪用や特定ターゲットへの探索など、別の経路で発見・利用される可能性が高くなります。

• プロバイダー割り当てプレフィックス： 多くのISPは、顧客に対して安定的ではあるものの、しばしば動的な/64またはそれ以上のIPv6プレフィックスを割り当てます。そのため、同じ住宅ユーザーでも時間の経過とともに同一プレフィックス内の異なるIPからアクセスしているように見えることがあります。IPインテリジェンスでは、個別アドレスだけでなく、プレフィックス全体が住宅系と見なせるのか、あるいは混在用途を含むのかを考慮する必要があります。この判断には、通常ASNやrDNSのパターンが役立ちます。

• トンネリングサービス： IPv6への移行期には、6to4、Teredo、ISATAPなど、IPv4ネットワーク上でIPv6トラフィックをカプセル化するトンネリングサービスが使われることがあります。現在では以前ほど一般的ではありませんが、こうしたトンネルは実際の通信元を見えにくくし、proxyに似た中継レイヤーを追加する場合があります。重要なのはトンネルブローカーのエンドポイントを特定することであり、ここでもASNやデータセンター分類が判断材料になります。

• モバイルネットワークとCGNAT回避： IPv4のモバイルネットワークではCarrier-Grade NAT（CGNAT）が広く使われ、多数のユーザーが1つのグローバルIPv4アドレスを共有することがあります。そのため、不正利用の発生源を細かく特定するのは簡単ではありません。IPv6では、モバイルネットワークが各デバイスにユニークなグローバルIPv6アドレスを割り当てるケースが多く、理論上はレピュテーション評価の精度が高まります。一方で、追跡すべき個別アドレスの数は大幅に増えます。また攻撃者が大規模なモバイルIPプールを悪用し、多数のユニークかつ一時的なIPv6アドレスに不正トラフィックを分散させる可能性もあります。

IPリスクスコアリングの役割

違いはあるものの、IPインテリジェンスの最終目的は一貫しています。複数のシグナルを集約し、IPアドレスにリスクスコアを付与することです。IPv6では、次のような考え方が重要になります。

• シグナルの組み合わせ： IPv6アドレスに対しても、同じように複数のチェックを行います。そのASNは既知のホスティング事業者か。rDNSは汎用的、または未設定か。TOR出口リストに載っているか。既知のボットネットレンジに含まれるか。VPN事業者と関連しているか。こうした各シグナルが、総合的なリスクスコアに反映されます。

• 行動分析（利用可能な場合）： 個別IPのルックアップだけではなく、ネットワーク全体の行動分析システムがある場合には、同じ/64や同じASNに属する複数のIPv6アドレスが類似した不審行動を取っていないかを相関分析できます。これにより、単一のIPアドレスをまたいで広がるパターンを見つけやすくなります。

限界

どの手法も万能ではありません。IPv6 proxy検知における最大の制約は、IPv4と同様、攻撃側と防御側の継続的ないたちごっこにあります。新しいproxyサービスは次々に登場し、既存サービスも検知を回避するように変化します。また、一部のVPNのような正規サービスが不正目的に使われることもあります。さらに、IPv6のアドレス空間の広大さは、存在し得るすべてのproxyを網羅的に列挙することをいっそう難しくしています。

Conclusion

IPv6は、IP proxy検知の原則そのものを根本から変えるものではありません。ASN、rDNS、ホスティング分類、レピュテーションといった中核的なシグナルは、引き続き高い有効性を持ちます。変わるのはスケールです。圧倒的に広いアドレス空間を扱うには、堅牢で拡張性のある分類・管理基盤が欠かせません。

IPインテリジェンスプラットフォームには、データベースと検知アルゴリズムを継続的に更新し、IPv6特有の性質、たとえばユニークアドレスの普及や新しいトンネリングの形態に対応することが求められます。同時に、データセンター検知や既知の悪性リストといった実績ある手法も引き続き重要です。目標は、IPプロトコルのバージョンに関係なく、非住宅系、匿名化、またはその他の不審な接続を正確に見極めることにあります。

IPv4またはIPv6アドレスのリスク、proxy判定、データセンター判定を確認したい場合は、guarda.netのホームページで無料のIP lookupを利用できます。