ASNとは何か：ネットワークエンジニアのための実践ガイド

ASNとは何か？Autonomous System Numberを理解する

ネットワークセキュリティに携わっていると、IPアドレスは日常的に目にします。遮断したり、監視したり、挙動を分析したりする対象です。しかし、IPアドレスそのものは単なる番号にすぎません。そのIPがどこから来ているのか、どのような意図や背景を持つ可能性があるのかを読み解くには、文脈が必要です。その文脈を構成する最も基本的な要素のひとつが、Autonomous System Number、つまりASNです。

Autonomous System（AS）とは、単一の管理主体によって運用されるIPネットワークとルーティングポリシーの集合を指します。言い換えれば、ISP、大企業、教育機関のような、ひとまとまりのネットワーク運用者です。それぞれのASには、ARIN、RIPE NCC、APNICといった地域インターネットレジストリ（RIR）から、一意のAutonomous System Number（ASN）が割り当てられます。

ASNは、インターネットを支えるルーティングプロトコルであるBorder Gateway Protocol（BGP）にとって欠かせない存在です。BGPルーターはAS同士の間で経路情報を交換し、世界中のインターネット上でトラフィックが適切に流れるようにしています。ASNがなければ、BGPは異なるネットワーク運用者を識別できず、インターネットの基本的なルーティング構造は成り立ちません。

ネットワークセキュリティにおいてASNが重要な理由

セキュリティの観点では、ASNはIPアドレスの背後にあるネットワーク基盤を理解するための重要な識別子です。ASNを使うことで、次のような判断が可能になります。

• ネットワーク運用者を特定する: ASNを見ることで、そのIPアドレスが属するネットワークブロックを誰が所有・運用しているのかが分かります。大手ISPなのか、データセンター事業者なのか、クラウドホストなのか、それとも一般企業なのかを把握できます。
• IPの性質を分類する: ASNの種類によって、リスクプロファイルは大きく異なります。既知のデータセンターASNに属するIPは、正規の住宅向けISP由来のIPに比べて、VPN、proxy、悪意あるインフラに利用されている可能性が高くなります。
• 大まかな地理情報を得る: ASNは直接的なジオロケーション情報ではありませんが、登録情報には運用主体の所在地が含まれることが多く、おおまかな地域の手がかりになります。
• 脅威インテリジェンスを強化する: 脅威情報をASNと関連付けることで、悪性活動の発信源となっているネットワークや運用者を特定しやすくなります。特定のASNがスパム、DDoS攻撃、マルウェア配布の発信元として繰り返し確認されている場合、そのAS内のIPに対してより高いリスクを割り当てる判断ができます。

ASNを読み解く：実例で見るルックアップ

ASNがどのような文脈情報を与えてくれるのか、実際の例で見ていきましょう。

例1：一般的な住宅向けIP

173.23.100.1 のようなIPアドレスを考えてみます。

このIPをルックアップすると、次のような情報が得られます。

• ASN: AS7018
• Organization: AT&T Services, Inc.
• Country: US
• Type: ISP (Internet Service Provider)

セキュリティ上の示唆: AS7018はAT&T Services, Inc.が運用する、非常に大規模でよく知られたTier-1 ISPです。このASNに属するIPは、正規の住宅向け回線または法人向け回線である可能性が高いと考えられます。もちろん、住宅向けIPであっても端末が侵害されることはありますが、proxyやVPNであるリスクの基準値は、データセンターIPと比べると低めです。このようなIPから不審な挙動が見られる場合、ネットワーク自体がproxyサービスとして運用されているというより、利用者の端末が侵害されている可能性をまず疑うのが自然です。

例2：データセンター／クラウドプロバイダーのIP

次に、18.156.128.1 を見てみましょう。

ルックアップ結果は、たとえば次のようになります。

• ASN: AS16509
• Organization: Amazon.com, Inc.
• Country: US
• Type: Cloud/Datacenter

セキュリティ上の示唆: AS16509はAmazon.com, Inc.に属し、具体的にはAWSのクラウドサービスで使われています。この範囲のIPは、多くの場合データセンターIPです。Webサイトやクラウドアプリケーションのホスティングに広く使われる一方で、VPN、proxy、TOR出口ノード、匿名化サービス、あるいは悪意あるインフラにも利用されます。このASNに属するIPが自社サービスへアクセスしてきた場合、自動化トラフィック、匿名化ツール、botnetのC2などの可能性を示すシグナルとして扱うべきです。不正検知やアクセス制御の文脈では、一般にこの種のIPのリスクは高めに評価されます。

例3：既知のProxy/VPNプロバイダーのIP

最後に、192.169.196.1 を例にします。

包括的なIPインテリジェンス基盤で確認すると、次のような情報が返ることがあります。

• ASN: AS26496
• Organization: Global Layer B.V.
• Country: NL
• Type: Hosting/Datacenter
• Additional Signal: Known Proxy/VPN Provider (Flagged)

セキュリティ上の示唆: AS26496はGlobal Layer B.V.が運用するホスティングプロバイダーのASNです。ホスティング事業者であること自体が悪性を意味するわけではありません。ただし、一部のホスティング事業者は、インフラ構成や運用ポリシーの関係でVPNやproxyサービスに好まれやすい傾向があります。Guarda（guarda.net）のようなIPインテリジェンスサービスでは、こうしたサービスをホストしていることが知られているASNやIPレンジの情報を継続的に管理し、さらに踏み込んだ判定を行います。そのASNに属するIPが既知のproxy/VPNプロバイダーとしてフラグされている場合、特にそうしたアクセス元を制限するポリシーを採用している環境では、リスク評価は大きく引き上げられます。

ASNデータだけでは見えない限界

ASNは非常に有用ですが、あくまで判断材料のひとつです。ネットワークの「種類」を大まかに分類する助けにはなりますが、個々のIPの実態をすべて説明できるわけではありません。主な限界は次のとおりです。

• 粒度: ASNは広大なネットワークを表します。ひとつのASNに、複数地域にまたがる数百万のIPアドレスが含まれることもあります。特定の悪性活動を単一のIPに結び付けるには、より細かなデータが必要です。
• 悪用の可能性: 正規のISPであっても、侵害された利用者端末が存在したり、特定のトラフィックが放置されたりすることがあります。反対に、データセンターASNであっても、完全に正当なアプリケーションをホストしているケースは数多くあります。
• 動的な性質: ASN自体は比較的安定していますが、ASN内のIPアドレス割り当ては動的であることがあります。たとえば住宅向け回線ではDHCPによってIPが変わります。そのIPの現在の用途は、過去の用途と異なる可能性があります。
• 具体性の不足: ASNだけでは、そのIPが現時点でTOR出口ノードなのか、Webスクレイパーなのか、botnetの一部なのかは分かりません。こうした判定には、リアルタイム検知や専門的なブラックリストが必要です。

ASNと他のシグナルを組み合わせ、実用的なIPインテリジェンスへ

こうした限界を補い、実運用に耐えるIPインテリジェンスを構築するには、ASNを他のシグナルと組み合わせて評価する必要があります。たとえば、次のような情報です。

• Reverse DNS（rDNS）Hostname: ec2-18-156-128-1.eu-central-1.compute.amazonaws.com のようなrDNSレコードは、クラウドインスタンスであることを強く裏付けます。一方、broadband-client.att.net のような一般的なホスト名は、住宅向け回線である可能性を示します。
• Hosting Range Detection: そのIPがクラウドホスティング専用のブロックに含まれているのか、住宅向け回線のブロックに含まれているのかを判定します。
• TOR Exit List Membership: そのIPが現在TOR出口ノードとしてリストされているかを確認します。
• Proxy/VPN Detection: ASNとは独立して、そのIPがproxyやVPNトラフィックの特徴を示しているかを判定します。
• IP Risk Score: ASNの種類、rDNS、ホスティング判定、ブラックリスト、直近の不正利用報告など、既知のシグナルを集約し、実務で使いやすい単一のスコアとして提示します。

これらのシグナルを重ね合わせることで、ASNが提供する大まかな理解から、より具体的で行動につながるリスク評価へと進めます。たとえば、データセンターASN（AS16509）に属し、汎用的なrDNSを持ち、TOR出口リストにも掲載され、さらに高いリスクスコアが付いているIPであれば、ASNだけを見た場合よりもはるかに明確な脅威プロファイルを描けます。

ASNとは何か、そしてその情報をどう読み解くかを理解することは、ネットワークセキュリティ担当者にとって基礎中の基礎です。IPアドレスに文脈を与え、アクセス制御、脅威ハンティング、不正防止における判断をより確かなものにする第一歩になります。個別のIPアドレスについて、関連するASNやその他のリスクシグナルを詳しく確認したい場合は、Guarda（guarda.net）のホームページで提供されている無料IPチェックを活用してみてください。