¿Qué es la reputación de IP?

La reputación de IP es una clasificación de la probabilidad de que una dirección IP esté relacionada con actividades maliciosas —botnets, phishing, spam, escaneos o ataques web— que se deriva de fuentes de inteligencia sobre amenazas que se actualizan continuamente. Las políticas de seguridad utilizan esta clasificación, junto con la geolocalización de IP, para permitir, alertar o bloquear el tráfico antes de que llegue a la red.

Puntos clave

• La reputación de IP señala las direcciones relacionadas con botnets, phishing, spam o escaneos.
• Versa Networks actualiza su base de datos de reputación de direcciones IP a diario y en tiempo real.
• Nueve categorías predefinidas permiten autorizar, alertar o bloquear acciones por dirección.
• Los perfiles de filtrado de IP combinan la reputación con la geolocalización y las listas de direcciones.
• La reputación de la URL puede prevalecer sobre la reputación de la IP para evitar el bloqueo de servidores compartidos.

En esta página: Por qué es importante · Cómo funciona · Tipos · Reputación de IP y Versa · Preguntas frecuentes

¿Por qué es importante la reputación de la IP?

No todas las amenazas parecen maliciosas en un paquete concreto: un host que realiza escaneos o un servidor de comando y control de una botnet suelen comportarse con normalidad a nivel de protocolo, aunque su historial los señale como peligrosos. La reputación de IP cubre esa laguna: compara el tráfico con un registro actualizado de direcciones en las que se han detectado ataques, malware o fraudes, y bloquea o marca las coincidencias antes de que una sesión llegue a las aplicaciones sensibles.

Esto es importante porque bloquea el tráfico malicioso conocido de forma económica y temprana, en el perímetro, en lugar de someter cada sesión a una inspección más exhaustiva y costosa. En combinación con la geolocalización, permite que las políticas tengan en cuenta el origen del tráfico, lo cual resulta útil cuando una organización no tiene relaciones comerciales legítimas con determinadas regiones. Dado que la base de datos se actualiza a diario y en tiempo real, la protección se adapta al ritmo de las amenazas que evolucionan rápidamente sin necesidad de mantener manualmente las listas de bloqueo.

¿Qué es la reputación de IP?

La reputación de IP es una de las varias formas en que los dispositivos VOS filtran el tráfico por dirección, junto con los objetos de dirección basados en FQDN y los objetos de dirección dinámicos introducidos desde el exterior. En lugar de resolver un nombre de dominio, comprueba la dirección IP de origen o destino cotejándola con una lista de direcciones maliciosas conocidas que Versa Networks mantiene y actualiza a diario y en tiempo real.

Los administradores crean perfiles de filtrado de IP que hacen referencia a categorías de reputación predefinidas y asocian una acción de aplicación a cada una de ellas: permitir, alertar, descartar el paquete, descartar la sesión, rechazar o una acción personalizada, como una redirección a un portal cautivo. Los perfiles pueden combinar la reputación con reglas de geolocalización, listas de denegación y de permiso, y comprobaciones de búsqueda inversa de DNS, aplicando criterios de coincidencia con respecto al origen, al destino o a ambos. Una herramienta de búsqueda en Director y Concerto muestra la reputación y la geolocalización de una dirección antes de que se aplique una regla.

Tipos de reputación de IP

VersaLa fuente de reputación predefinida clasifica las direcciones en nueve categorías, que constituyen los elementos básicos para crear perfiles personalizados de filtrado de IP. «Botnets» abarca la infraestructura de comando y control y los hosts «zombis» comprometidos. «Denegación de servicio» señala fuentes vinculadas a ataques DoS o DDoS. «Phishing» abarca hosts que alojan sitios fraudulentos o que cometen fraudes relacionados con clics y juegos. «Proxy» identifica direcciones que proporcionan servicios de proxy, a menudo utilizados para ocultar el verdadero origen de una solicitud. «Reputación» es una categoría general de asociación con malware. «Escáneres» señala actividades de reconocimiento: sondeos de puertos, escaneo de dominios y ataques de fuerza bruta contra contraseñas. «Fuentes de spam» abarca el spam retransmitido a través de proxies y la actividad SMTP anómala. «Ataques web» abarca el cross-site scripting, la inyección de SQL e iFrame, y los ataques entre dominios. «Vulnerabilidades de Windows» señala fuentes que distribuyen malware, código shell y gusanos. La antigua categoría «Red» ha quedado obsoleta y se mantiene únicamente por motivos de compatibilidad con versiones anteriores.

Reputación de IP y Versa

Los dispositivos VOS se suministran con la fuente de reputación predefinida de Versaintegrada, por lo que los perfiles de filtrado de IP son eficaces contra botnets, phishing, escaneos y otras categorías desde el primer momento, tanto si el perfil protege una ruta de Secure Web Gateway como si se encuentra delante del cortafuegos de última generación. Versa también incluye perfiles ya configurados —Bloquear tráfico malicioso, Bloquear DoS, Bloquear escáneres, Bloquear spam y el perfil general recomendado de Versa — para que los equipos puedan establecer una base de referencia adecuada sin tener que crearla desde cero.

Cuando los ajustes predeterminados no son suficientes, los administradores crean perfiles personalizados que combinan medidas basadas en la reputación con reglas de geolocalización, listas de permitidos y prohibidos, y búsqueda inversa de direcciones. La opción «Priorizar la reputación de la URL» permite que la confianza a nivel de URL prevalezca sobre un bloqueo basado en la reputación de la IP, lo cual resulta útil cuando un sitio legítimo comparte dirección con uno marcado como sospechoso, como ocurre, por ejemplo, detrás de una CDN. Director y Concerto ofrecen una herramienta de consulta de reputación para comprobar la clasificación y la geolocalización de cualquier dirección.

Preguntas frecuentes

¿Qué categorías predefinidas de reputación de IP ofrece Versa ?

Nueve categorías: botnets, denegación de servicio, phishing, proxy, reputación (asociación general con malware), escáneres, fuentes de spam, ataques web y vulnerabilidades de Windows. Una décima categoría, «Red», ha quedado obsoleta y se mantiene únicamente por motivos de compatibilidad con versiones anteriores. Los administradores pueden activar cualquier combinación de estas categorías al crear un perfil de filtrado de IP.

¿Con qué frecuencia actualiza « Versa » su base de datos de reputación de IP?

Versa Actualiza el feed tanto a diario como en tiempo real, por lo que los nodos de botnets, los servidores de phishing y las fuentes de escaneo recién identificados se reflejan en la aplicación de las medidas sin que el administrador tenga que modificar manualmente las listas de bloqueo. Los dispositivos VOS lo incorporan automáticamente en cuanto un perfil hace referencia a acciones basadas en la reputación.

¿Pueden entrar en conflicto la reputación de la IP y la reputación de la URL?

Sí. El bloqueo basado exclusivamente en la reputación de la IP puede afectar a sitios legítimos que compartan una dirección con uno malicioso, algo habitual cuando se utilizan CDN. La configuración «Priorizar la reputación de la URL» resuelve este problema al permitir que una reputación de URL fiable prevalezca sobre un bloqueo basado en la reputación de la IP, evaluada en función de un umbral de prioridad de riesgo configurable.

¿Qué medidas coercitivas puede aplicar una política de seguridad basadas en la reputación de las direcciones IP?

Las acciones incluyen «Permitir», «Alertar» (permitir y registrar), «Descartar paquete», «Descartar sesión» y «Rechazar», además de acciones personalizadas como el redireccionamiento a un portal cautivo, una solicitud de PIN de anulación o una página de justificación. Los administradores asignan una acción específica a cada categoría de reputación o regla de geolocalización de un perfil.

¿Puede un administrador consultar la reputación de una dirección IP concreta?

Sí. Director y Concerto incluyen una herramienta de consulta de reputación: basta con introducir una organización y una dirección IP para que la interfaz muestre su clasificación actual y su ubicación geográfica, lo cual resulta útil para comprobar el efecto de una regla antes o después de su implementación, o para investigar el tráfico.

Más información sobre la reputación de la IP

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre la reputación de las direcciones IP, te conviene echar un vistazo a lo siguiente.