Практические сигналы для выявления VPN-подключений

14 января 2025 г.выявление vpnip intelligenceсетевая безопасностьоценка рисков

Инженерный разбор обнаружения VPN, proxy и выходных узлов TOR: что на самом деле показывают IP intelligence-сигналы и где проходят их границы.

Как работает выявление VPN: это не простой переключатель «да/нет»

Определить VPN-подключение — не то же самое, что проверить один флаг и получить бинарный ответ. Для пользователя VPN часто выглядит как обычный инструмент приватности, но с точки зрения безопасности, антифрода или комплаенса он может означать повышенный риск либо попытку обойти географические ограничения. Задача инженера по безопасности — не блокировать все VPN подряд, а разбираться в сигналах, оценивать вероятность риска и принимать взвешенные решения. Ниже — практические признаки, что именно они подтверждают и какие у них есть ограничения.

Сигнал 1: ASN (Autonomous System Number) и название связанной организации

Каждый IP-адрес относится к определённому ASN, которым управляет конкретная организация. Это базовая информация для маршрутизации. Когда мы смотрим на ASN IP-адреса, мы фактически задаём вопрос: кому принадлежит этот блок адресов?

Что это доказывает: ASN точно показывает организацию, отвечающую за маршрутизацию трафика для данного IP. У VPN-провайдеров, операторов дата-центров, облачных платформ (AWS, Azure, Google Cloud) и хостинг-компаний часто есть хорошо известные ASN.
Как применять на практике: Если ASN IP-адреса указывает на "OVH SAS", "DigitalOcean LLC", "M247 Ltd" или известного VPN-провайдера, это сильный признак нерезидентской инфраструктуры. Это не гарантирует, что перед вами VPN, но делает весьма вероятным сценарий, при котором подключение идёт из хостинговой среды, а не от обычного домашнего провайдера.
Ограничения: Не все хостинговые ASN используются для VPN. Легальная компания может размещать там собственные сервисы. И наоборот: небольшие VPN-сервисы могут работать через ASN, которые обычно не ассоциируются с VPN, либо использовать резидентские IP менее очевидными способами. Резидентские IP VPN особенно сложны для такой проверки: ASN в этом случае будет принадлежать обычному интернет-провайдеру.

Сигнал 2: Reverse DNS (rDNS) Hostname

rDNS сопоставляет IP-адрес с доменным именем — это обратная операция по отношению к стандартному DNS-запросу. Администраторы сетей часто настраивают rDNS-записи для своих диапазонов IP.

Что это доказывает: rDNS hostname может подсказать назначение IP-адреса или его провайдера. Часто встречаются шаблоны вроде ec2-xx-xx-xx-xx.compute-1.amazonaws.com, vps.yourhostingcompany.com или cpe-xx-xx-xx-xx.residentialisp.com.
Как применять на практике: Если в rDNS hostname есть слова вроде "vps", "cloud", "hosting" или название известного VPN-провайдера, это усиливает гипотезу о нерезидентском либо потенциально VPN-подключении. Отсутствие rDNS-записи или слишком общая, неинформативная запись тоже может быть слабым сигналом: такой IP менее похож на стандартное домашнее подключение, которым управляет обычный ISP.
Ограничения: rDNS можно настроить вручную. Подготовленный злоумышленник способен прописать кастомную rDNS-запись так, чтобы она выглядела убедительнее. Кроме того, у многих резидентских провайдеров rDNS-записи сами по себе довольно generic, поэтому их наличие не исключает VPN на резидентских IP.

Сигнал 3: Классификация диапазона IP-адресов (Hosting, Datacenter, Residential)

Этот сигнал относит IP-адрес к определённой категории на основе распределения адресного пространства и типичных сценариев использования.

Что это доказывает: Он классифицирует IP как адрес дата-центра, хостинг-провайдера или резидентского ISP. Обычно такая оценка строится на данных ASN, BGP-маршрутизации и исторических паттернах использования.
Как применять на практике: IP, классифицированные как "datacenter" или "hosting", — сильный признак того, что соединение идёт не от типичного домашнего или офисного пользователя. VPN, proxy и выходные узлы TOR почти всегда используют такие диапазоны — за исключением резидентских IP VPN.
Ограничения: Как уже отмечалось, резидентские IP VPN и proxy могут обходить такую проверку. Эти сервисы маршрутизируют трафик через домашние устройства пользователей — с их согласия или в результате компрометации, — из-за чего IP выглядит по-настоящему резидентским. Это серьёзная слепая зона для любых методов, которые опираются только на классификацию диапазонов.

Сигнал 4: Списки выходных узлов TOR

TOR (The Onion Router) — анонимизирующая сеть. Трафик, покидающий сеть TOR, проходит через специальные "exit nodes" — выходные узлы.

Что это доказывает: Если IP-адрес есть в актуальном списке выходных узлов TOR, это однозначно подтверждает, что подключение выходит из сети TOR. Здесь практически нет пространства для трактовок.
Как применять на практике: Это прямой и понятный сигнал для выявления пользователей TOR. В зависимости от риск-профиля приложения такие подключения можно блокировать, отправлять на дополнительную проверку или просто внимательно мониторить.
Ограничения: Сигнал выявляет только TOR. Он не помогает обнаруживать другие VPN или proxy. Кроме того, списки выходных узлов TOR динамичны, поэтому их нужно постоянно обновлять, иначе точность быстро падает.

Сигнал 5: Зафиксированное использование как VPN/Proxy/Botnet

Этот сигнал основан на активной разведке, мониторинге и исторических данных о поведении IP-адреса.

Что это доказывает: Он показывает, что IP уже наблюдался в роли VPN, proxy или части botnet. Такие данные часто поступают из honeypot-систем, анализа сетевого трафика и пользовательских репортов.
Как применять на практике: Если у IP есть история использования известными VPN-сервисами или proxy-сетями, это очень сильный индикатор. Именно здесь особенно полезны специализированные IP intelligence-платформы: они агрегируют и анализируют большие массивы данных во времени.
Ограничения: Критически важна свежесть данных. IP может перестать быть VPN-endpoint или быть переназначен другому владельцу. И наоборот: новый VPN-endpoint может ещё не попасть в базы. Такой сигнал наиболее эффективен, когда он является частью постоянно обновляемой intelligence-сети большого масштаба.

Сигнал 6: IP Risk Score

IP risk score — это составная метрика, которая объединяет несколько сигналов в одно, чаще всего числовое, значение.

Что это доказывает: Risk score даёт целостную оценку вероятности того, что IP связан с вредоносной активностью, анонимизирующими сервисами вроде VPN/proxy или другим нежелательным трафиком. Чем выше score, тем, как правило, выше риск.
Как применять на практике: Risk score позволяет гибко настраивать политики. Например, можно блокировать IP выше определённого порога или включать step-up authentication. Guarda.net обрабатывает более 0 проверок в день, агрегируя такие сигналы и превращая их в прикладные risk score и классификации.
Ограничения: Эффективность risk score полностью зависит от качества и широты исходных сигналов, а также от алгоритма, который их объединяет. Score — это агрегированная оценка: она скрывает отдельные факторы за итоговым числом, поэтому для детального анализа важно понимать, какие именно признаки повлияли на результат.

Главный вывод

Ни один отдельный сигнал не даёт идеального ответа в формате "VPN или не VPN", особенно на фоне роста резидентских IP VPN. Надёжное выявление строится на комбинации нескольких признаков и понимании контекста. Качественный IP intelligence API собирает эти точки данных воедино и помогает увидеть картину целиком. Мы ищем паттерны: ASN дата-центра, generic rDNS, классификация как hosting и высокий risk score вместе указывают на высокую вероятность VPN или proxy. При внедрении правил обнаружения и реакции всегда учитывайте конкретный уровень допустимого риска для вашего приложения.

Чтобы быстро проверить IP и увидеть эти сигналы в работе, попробуйте бесплатный инструмент IP lookup на главной странице Guarda.net.