Wie das IP-Risiko bewertet wird

Wie wir eine IP bewerten

CHA.LA ordnet überprüfbare Netzwerksignale in einen Risikowert und eine native IP-Bewertung ein, um Ihnen den Netzwerkkontext und öffentliche Risikoindikatoren einer IP verständlich zu machen. Die Ergebnisse spiegeln die aktuell verfügbaren Belege wider und können sich mit aktualisierten Daten ändern.

Wie der Risikowert gebildet wird

Der Risikowert kombiniert unabhängige Signale. Öffentliche Informationen, Hosting-Merkmale und Inkonsistenzen bei Registrierung oder Geolokalisierung können das Risiko erhöhen; fehlende Beobachtungen werden nicht automatisch als sicher behandelt. Das Vertrauen steigt, wenn sich die Belegabdeckung verbessert.

Risikowert-Stufen

• Geringes Risiko：In den verfügbaren Belegen wurde kein klares negatives Signal gefunden.
• Neutral：Eine kleine Anzahl von Netzwerkmerkmalen muss im Kontext interpretiert werden.
• Aufmerksamkeit erforderlich：Mehrere Signale deuten darauf hin, dass Quelle und Verwendungszweck überprüft werden sollten.
• Hohes Risiko：Starke anomale, Hosting- oder öffentliche Risikobelege sind vorhanden.
• Sehr hohes Risiko：Beobachtungen oder öffentliche Informationen zeigen konzentrierte und eindeutige Risikosignale.

Hauptbewertungsfaktoren

• Netzwerktyp：Identifiziert Wohn-, Unternehmens-, Cloud-, Rechenzentrums- und andere Netzwerkattribute.
• Konsistenz von Registrierung und Geolokalisierung：Vergleicht Registrierungs-, Ankündigungs- und Geolokalisierungssignale, um regionale oder Wiederverkaufsmerkmale zu identifizieren.
• Hosting- und Rechenzentrumssignale：Verwendet ASN-, Präfix- und Infrastruktursignale, um zu bestimmen, ob eine IP zu einem gehosteten oder Cloud-Netzwerk gehört.
• Öffentliche Bedrohungsinformationen：Referenziert validierte öffentliche Sicherheitsinformationen und historische Risikoereignisse.
• Risikodichte im C-Segment：Fügt Netzwerkkontext hinzu, indem die Risikoverteilung innerhalb desselben Adresssegments beobachtet wird.
• First-Party-Beobachtungen：Verwendet Beobachtungen von CHA.LA-Sensoren und Honeypots als direkte unterstützende Evidenz.

Bewertungssicherheit

Die Sicherheit beschreibt die Vollständigkeit der Evidenz, nicht den Risikowert selbst. Bei begrenzter Evidenz kennzeichnet der Bericht das Ergebnis als nicht beobachtet oder mit geringer Sicherheit. Unbekannt bedeutet nicht sicher.

Native IP-Bewertung

„Nativ“ bedeutet, dass die Hauptregistrierung, Ankündigung, Geolokalisierung und Netzwerksignale konsistent sind, ohne klare Hosting-, Wiederverkaufs- oder regionsübergreifende Anomalien. Es beschreibt die Konsistenz der Netzwerkzugehörigkeit und bedeutet keine absolute Sicherheit.