Guardaへようこそ：実トラフィックを見極めるためのIPインテリジェンス

なぜGuardaを作ったのか

オンラインサービスを運営していると、どのプロダクトもいずれ同じ課題に直面します。リクエストが届いた瞬間、わずか数ミリ秒のうちに「どこまで信頼してよいか」を判断しなければなりません。そのアカウントは本物かもしれません。あるいは、直近1分間でレンタルされたデータセンターIPから行われた5件目のサインアップかもしれません。その時点で確実に手元にある情報は、接続そのものです。つまり、IPアドレス、その背後にあるネットワーク、そしてそのネットワークが通常どのように使われているかです。

Guardaは、この細いシグナルを、実際の判断に使える情報へ変えるために作られました。IPアドレスを照会し、そのアドレスが属するネットワークを分類し、判定結果とその根拠をあわせて返します。

ルックアップで実際に返ってくるもの

APIを1回呼び出すだけで、次の情報が得られます。

• Connection type — 住宅回線、モバイルキャリア、企業ネットワーク、hosting/datacenter。
• Anonymiser flags — proxy、VPN、TOR exit node、open relay。
• Network identity — ASN、組織名、そのアドレスが含まれるIPレンジ。
• Geolocation — 国、地域、都市。ただし都市レベルのデータは「事実」ではなく推定であることも明示します。
• Risk score — 上記すべてを0–100で要約したスコア。10個のルールを書く代わりに、1つのしきい値で運用できます。

大切なのは、スコアだけでなく根拠も一緒に返すことです。あるIPアドレスにフラグが立った場合、それがクラウド事業者に属しているからなのか、TOR出口ノードのリストに載っているからなのか、あるいはそのhosting ASNに自動化された不正利用の履歴があるからなのかを確認できます。説明できないスコアは、本番のレビューキューでは誰にも信頼されません。

ラベル付けではなく、正しく分類する

私たちが特に重視していることがあります。それは、ネットワークを実態どおりに呼ぶことです。Google DNSのリゾルバやCloudflareのIPアドレスはVPNではありません。インフラです。住宅回線以外のトラフィックをすべて「VPN」とラベル付けしてしまうのは、不正対策チームの信頼を失う最短ルートです。アナリストが見慣れたIPを確認して誤ったラベルを見つけた瞬間、ほかの判定結果まで疑わしく見えてしまいます。

そのためGuardaでは、hosting/datacenter、commercial VPN、residential proxyを明確に分けています。この3つは実務上のリスクが大きく異なり、取るべき対応も違うからです。

チームでの活用例

よく見られる使い方は次のとおりです。

• サインアップ保護。 登録時にスコアリングし、リスクの高いIPアドレスは即ブロックではなく、メール認証や電話認証に回します。
• 決済リスク。 IPの判定結果に、請求先国との不一致やカード利用の速度を組み合わせます。IPだけで決済を拒否すべきではありませんが、判断が分かれる場面では非常に有効な材料になります。
• コンテンツとライセンス。 地域別の配信権が本当に必要な場面で、commercial VPNの出口を検出します。
• 分析データの健全化。 レポートからデータセンタートラフィックを除外し、コンバージョン指標が実際の人間の行動を表すようにします。

ホットパスで使える設計

APIは、キーを使って呼び出すシンプルなHTTPリクエストです。入力も出力もJSONで、同じIPアドレスへの繰り返し照会はキャッシュされるため、その都度ラウンドトリップのコストが発生することはありません。ログ分析やバックフィル向けには、バッチルックアップも用意しています。コードを1行も書く前に、アカウントなしでホームページ上から任意のIPアドレスを試すこともできます。

このブログで今後扱うこと

このブログでは、実務に役立つ内容を発信していきます。検出シグナルが実際にどのように機能するのか、どこで失敗しやすいのか、false positiveがどれほどのコストを生むのか、そしてホテルのWi-Fiを使っている正規顧客を罰することなく不正を止めるポリシーをどう設計するのか。取り上げてほしいテーマがあれば、ぜひ教えてください。私たちが開発を始めたときに「こういうリファレンスが欲しかった」と思える場所にしていきます。

ようこそ、Guardaへ。