ホスティング事業者のIPとは何か。なぜ不審に見えるのか

ホスティング事業者、クラウドサービス、Content Delivery Network（CDN）に紐づくIPアドレスは、IPインテリジェンスの現場でしばしば判断を難しくします。通信そのものは正当であることも多い一方で、セキュリティシステムでは警告の対象になりやすいからです。正確な脅威評価を行うには、ホスティング事業者のIPとは何か、そしてなぜ不審に見えるのかを理解しておく必要があります。

Identifying Hosting Provider IPs

ホスティング事業者のIPアドレスとは、基本的にはインターネット向けのインフラを提供する組織に割り当てられたIPを指します。従来型のWebホスティング企業に加え、AWS、Azure、Google Cloudのような大手クラウド事業者、Cloudflare、Akamai、FastlyといったCDNも含まれます。

Key Indicators

あるIPアドレスがホスティング事業者に属しているかを見極めるには、いくつかの代表的なシグナルがあります。

• ASN (Autonomous System Number): ASNは、もっとも信頼しやすい手がかりの一つです。ホスティング事業者やクラウドプラットフォームは、一般に大規模でよく知られたASNを運用しています。たとえばAWSのIPは、AS16509（AMAZON-02）やAS14618（AMAZON-AES）などに属することが多くあります。ASNをグローバルレジストリやIPインテリジェンスデータベースと照合すれば、そのネットワークの保有者を素早く確認できます。
• rDNS (reverse DNS) Hostname: すべてに設定されているわけではありませんが、ホスティング事業者のIPには出所が分かりやすいrDNSレコードが付いていることがあります。たとえば ec2-xx-xx-xx-xx.compute.amazonaws.com、azurewebsites.net、あるいは host-xx-xx-xx-xx.static.cloud-provider.com のような汎用的なパターンです。
• IP Range Allocation: ARIN、RIPE、APNICなどのインターネットレジストリは、こうした組織に大きなIPアドレスブロックを割り当てています。IPインテリジェンスサービスは既知のIPレンジをデータベース化し、datacenter や hosting といった種別に分類しています。

Cloud Ranges vs. Dedicated Hosting

どちらもホスティング事業者のIPですが、クラウドレンジと専用ホスティングを分けて考えると実務上は便利です。AWS EC2やAzure VMsのようなクラウドレンジは、動的かつ共有型であることが特徴です。ひとつのパブリックIPが、時間の経過とともに別の顧客へ再割り当てされることもあります。一方、専用ホスティングでは、個別のサーバーやアカウントに対して比較的安定したIPが割り当てられる傾向があります。

CDNはさらに特殊です。CDN事業者は世界中に大規模なエッジサーバーネットワークを持ち、コンテンツをキャッシュして配信します。多数の顧客Webサイトに対するリバースプロキシとして機能するため、ひとつのCDN IPが何千ものドメインや組織のトラフィックを受け持っていることも珍しくありません。

Why Hosting Provider IPs Look Suspicious

セキュリティの観点では、ホスティング事業者やCDNから来るIPは、通信自体が無害であっても、基礎的なリスクがやや高いものとして扱われがちです。これは事業者そのものに問題があるという意味ではありません。むしろ、そのインフラがどのように利用されやすいかを反映したものです。

The Shared Infrastructure Problem

• Attack Origin Point: 攻撃者は、攻撃基盤としてホスティング事業者のインフラをよく利用します。低コストで拡張しやすく、本人の本当の身元や所在地を明かさずに仮想マシンやコンテナを素早く立ち上げられるためです。DDoS攻撃、ブルートフォース、credential stuffing、スクレイピングなどが典型例です。
• Proxy and VPN Exit Nodes: 多くのVPNサービス、匿名proxy、TORのexit nodeは、ホスティング事業者のIPレンジ上で稼働しています。こうしたサービスを経由した通信は、出口ではデータセンターIPから来たように見えます。そのため、ホスティングIPには is_proxy や is_vpn のフラグが付くことが少なくありません。
• Botnets: すべてではありませんが、botnetの一部は、こうした環境にある侵害済みサーバー上に存在することがあります。また、攻撃者がVMを借りてbotnet運用に組み込むケースもあります。

Impact on IP Risk Scoring

guarda.netのようなIPインテリジェンスプラットフォームは、こうした観測情報をもとにリスクスコアを算出します。あるIPが hosting range や datacenter と判定されると、他の条件が同じであれば、一般家庭向け回線のIPよりも基礎リスクは高めに見積もられます。ただし、このスコアが示すのは、そのIPが不審な活動に関与している可能性が相対的に高いということであり、断定ではありません。

次のような場面を考えてみましょう。

• Legitimate User: 開発者が社内リソースにアクセスするためにVPNを使っている場合、通信の出口がデータセンターIPになることがあります。利用自体は正当でも、IPインテリジェンスシステムはVPNまたはホスティングIPとしてフラグを立て、リスクスコアを引き上げる可能性があります。このときは、User-Agent、セッション履歴、行動パターンなど、他の文脈情報が重要になります。
• Scraper Bot: Webサイトからデータを収集する自動スクリプトは、多くの場合、ホスティング事業者のIPから実行されます。あるいは、別の難しさを伴う residential proxy network が使われることもあります。このケースでは、datacenter フラグに加え、高頻度のリクエストや不自然なUser-Agentが見られれば、悪意ある意図を強く示す材料になります。

Practical Implications for Security Engineers

ホスティング事業者のIPからの通信を評価する際には、単純な白黒判定ではなく、文脈を踏まえた判断が欠かせません。

Don't Blanket Block

既知のホスティングレンジをすべて一律にブロックするのは、ほとんどの場合よい戦略ではありません。クラウドインフラやCDNに依存する正当なサービスまで巻き込んでしまうためです。たとえば、次のような影響が考えられます。

• 多くのSaaSアプリケーションはクラウドサービスを利用しており、正当なAPIコールやwebhookまで遮断されてしまう可能性があります。
• VPNを利用する正規ユーザーや、一部の企業ネットワークからの通信も、データセンターIPを経由して見えることがあります。
• セキュリティスキャナー、稼働監視サービス、GooglebotやBingbotのような検索エンジンクローラーも、クラウドやデータセンターのIPから来ることがあります。

Leverage Multiple Signals

IPインテリジェンスは、他のセキュリティシグナルと組み合わせてこそ効果を発揮します。あるIPがホスティング事業者のIPだと分かった場合は、次のような観点も併せて確認します。

• Analyze behavior: トラフィック量は不自然に多くないか。マウス操作がない、フォーム送信が極端に速いなど、人間らしくないパターンはないか。
• Examine User-Agent: User-Agent文字列は一般的なブラウザの挙動と整合しているか。それとも、汎用的な python-requests や見慣れないエージェントのように不審に見えるか。
• Cross-reference with known threats: リアルタイムブラックリスト、TOR exit list、既知のbotnet command and control listに掲載されていないかを確認します。
• Consider the source: そのIPは管理画面のような重要エンドポイントにアクセスしようとしているのか。それとも公開コンテンツを取得しているだけなのか。アクセス先の文脈は非常に重要です。

たとえば、AWS（AS16509）のIPが午前3時に管理パネルへログインを試み、汎用的なUser-Agentを使い、複数回ログインに失敗しているなら、datacenter という分類は全体のリスクを大きく押し上げます。一方で、同じIPがCDN上の公開キャッシュ済みアセットを取得しているだけなら、通常は無害と考えられます。

The Role of IP Intelligence APIs

guarda.netのようなIPインテリジェンスAPIは、こうした複雑なシグナルを実務で使いやすい形に整理して提供します。たとえば、次のような情報を確認できます。

• このIPは既知の proxy または vpn か。
• TORの exit_node か。
• hosting_range または datacenter に含まれるか。
• ASN と関連組織は何か。
• 算出された risk_score はどの程度か。

こうしたデータがあれば、セキュリティエンジニアはより精緻な検知ルールを設計できます。単に block if datacenter とするのではなく、block if datacenter AND risk_score > X AND access_path = login_page AND failed_login_attempts > Y のように、複数条件を組み合わせた判断が可能になります。

Conclusion

ホスティング事業者のIPは、現代のインターネットに不可欠な存在である一方、諸刃の剣でもあります。共有型で動的、かつ匿名性を得やすいという性質は、悪意ある攻撃者にとっても魅力的だからです。正当なクラウドトラフィックと本物の脅威を見分けるには、IPインテリジェンスを丁寧に読み解き、行動分析と組み合わせて判断することが重要です。任意のIPにどの程度のリスクがあるかを確認したい場合は、guarda.netのホームページでチェックできます。