Como o risco de IP é avaliado

Como avaliamos um IP

O CHA.LA organiza sinais de rede verificáveis em um valor de risco e uma avaliação nativa de IP, ajudando você a entender o contexto de rede e os indicadores de risco públicos de um IP. Os resultados refletem as evidências disponíveis agora e podem mudar conforme os dados são atualizados.

Como o valor de risco é formado

O valor de risco combina sinais independentes. Inteligência pública, características de hospedagem e inconsistências de registro ou geolocalização podem aumentar o risco; a falta de observações não é automaticamente tratada como segura. A confiança aumenta à medida que a cobertura de evidências melhora.

Níveis do valor de risco

• Risco baixo：Nenhum sinal adverso claro foi encontrado nas evidências disponíveis.
• Neutro：Um pequeno número de características de rede precisa ser interpretado no contexto.
• Requer atenção：Vários sinais sugerem que a origem e o caso de uso devem ser verificados.
• Risco alto：Há forte evidência de anomalia, hospedagem ou risco público.
• Risco muito alto：Observações ou inteligência pública mostram sinais de risco concentrados e claros.

Principais fatores de avaliação

• Tipo de rede：Identifica atributos de rede residencial, empresarial, em nuvem, data center e outros.
• Consistência de registro e geolocalização：Compara sinais de registro, anúncio e geolocalização para identificar características regionais ou de revenda.
• Sinais de hospedagem e data center：Usa sinais de ASN, prefixo e infraestrutura para determinar se um IP pertence a uma rede hospedada ou em nuvem.
• Inteligência de ameaças públicas：Faz referência a inteligência de segurança pública validada e eventos históricos de risco.
• Densidade de risco no segmento C：Adiciona contexto de rede ao observar a distribuição de risco dentro do mesmo segmento de endereço.
• Observações próprias：Utiliza observações dos sensores e honeypots da CHA.LA como evidência direta de suporte.

Confiança da avaliação

A confiança descreve a completude da evidência, não o valor do risco em si. Quando a evidência é limitada, o relatório marca o resultado como não observado ou baixa confiança. Desconhecido não significa seguro.

Avaliação de IP nativo

"Nativo" significa que o registro principal, anúncio, geolocalização e sinais de rede são consistentes, sem anomalias claras de hospedagem, revenda ou entre regiões. Descreve a consistência da propriedade da rede e não significa segurança absoluta.