Qu'est-ce que la réputation IP ?

La réputation IP est une classification qui évalue la probabilité qu’une adresse IP soit associée à des activités malveillantes (botnets, hameçonnage, spam, balayages ou attaques Web), établie à partir de flux d’informations sur les menaces mis à jour en permanence. Les politiques de sécurité utilisent cette classification, ainsi que la géolocalisation des adresses IP, pour autoriser, signaler ou bloquer le trafic avant qu’il n’atteigne le réseau.

Points clés à retenir

• La réputation IP signale les adresses associées à des botnets, au hameçonnage, au spam ou à des opérations de balayage.
• Versa Networks met à jour quotidiennement et en temps réel son flux d'informations sur la réputation des adresses IP.
• Neuf catégories prédéfinies permettent d'autoriser, d'alerter ou de bloquer des actions pour chaque adresse.
• Les profils de filtrage IP associent la réputation à la géolocalisation et aux listes d'adresses.
• La réputation de l'URL peut prévaloir sur celle de l'adresse IP afin d'éviter le blocage des hébergements mutualisés.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Réputation IP et Versa · FAQ

Pourquoi la réputation IP est-elle importante ?

Toutes les menaces ne se présentent pas nécessairement comme malveillantes au niveau d’un paquet individuel : un hôte effectuant un scan ou un serveur de commande et de contrôle de botnet se comporte souvent normalement au niveau du protocole, même si son historique le désigne comme dangereux. La réputation IP comble cette lacune : elle filtre le trafic en le comparant à une base de données mise à jour régulièrement, répertoriant les adresses ayant déjà hébergé des attaques, des logiciels malveillants ou des fraudes, et bloque ou signale les correspondances avant qu’une session n’atteigne les applications sensibles.

Cela est important car cela permet de bloquer à moindre coût et dès le début, à la périphérie, le trafic connu pour être malveillant, au lieu de soumettre chaque session à une inspection plus approfondie et plus coûteuse. Associée à la géolocalisation, cette fonctionnalité permet à la politique de prise en compte de l’origine du trafic, ce qui s’avère utile lorsqu’une organisation n’a aucune relation commerciale légitime avec certaines régions. Le flux étant mis à jour quotidiennement et en temps réel, la protection s’adapte au rythme des menaces en constante évolution sans nécessiter de mise à jour manuelle des listes de blocage.

Qu'est-ce que la réputation IP ?

La réputation IP est l'un des différents moyens utilisés par les appareils VOS pour filtrer le trafic en fonction de l'adresse, au même titre que les objets d'adresse basés sur le nom de domaine complet (FQDN) et les objets d'adresse dynamiques fournis en externe. Plutôt que de résoudre un nom de domaine, le système vérifie l'adresse IP source ou de destination par rapport à une liste d'adresses connues pour être malveillantes ( Versa ), queNetworks gère et met à jour quotidiennement et en temps réel.

Les administrateurs créent des profils de filtrage IP qui font référence à des catégories de réputation prédéfinies et associent à chacune d’elles une action d’application : autoriser, alerter, rejeter le paquet, interrompre la session, refuser, ou une action personnalisée telle qu’une redirection vers un portail captif. Les profils peuvent combiner la réputation avec des règles de géolocalisation, des listes de refus et d’autorisation, ainsi que des vérifications de résolution DNS inverse, en appliquant des critères de correspondance à la source, à la destination ou aux deux. Un outil de recherche disponible dans Director et Concerto affiche la réputation et la géolocalisation d’une adresse avant la création d’une règle.

Types de réputation IP

VersaLe flux de réputation prédéfini classe les adresses en neuf catégories, qui constituent les éléments de base des profils de filtrage IP personnalisés. La catégorie « Botnets » couvre l’infrastructure de commande et de contrôle ainsi que les hôtes « zombies » compromis. La catégorie « Déni de service » signale les sources liées à des attaques DoS ou DDoS. La catégorie « Hameçonnage » couvre les hôtes hébergeant des sites frauduleux ou impliqués dans des fraudes liées aux clics et aux jeux en ligne. La catégorie « Proxy » identifie les adresses fournissant des services de proxy, souvent utilisés pour masquer la véritable origine d’une requête. La catégorie « Réputation » regroupe de manière générale les associations avec des logiciels malveillants. La catégorie « Scanners » signale les activités de reconnaissance : sondages de ports, analyse de domaines et attaques par force brute sur les mots de passe. La catégorie « Sources de spam » couvre le spam relayé via des proxys et les activités SMTP anormales. La catégorie « Attaques Web » couvre les attaques de type « cross-site scripting », les injections SQL et iFrame, ainsi que les attaques inter-domaines. La catégorie « Exploits Windows » signale les sources distribuant des logiciels malveillants, du shellcode et des vers. Une ancienne catégorie « Réseau » est obsolète, mais conservée uniquement à des fins de compatibilité ascendante.

Réputation IP et Versa

Les appareils VOS sont livrés avec le flux de réputation prédéfini d’ Versaintégré ; ainsi, les profils de filtrage IP sont immédiatement opérationnels contre les botnets, le phishing, les scans et les autres menaces, que le profil protège un chemin Secure Web Gateway ou qu’il soit déployé en amont du pare-feu de nouvelle génération. Versa propose également des profils prêts à l’emploi – « Block Bad Traffic », « Block DoS », « Block Scanners », « Block Spam » et le profil général « Versa Recommended Profile » – permettant ainsi aux équipes de mettre en place une base de référence raisonnable sans avoir à la créer elles-mêmes.

Lorsque les paramètres par défaut ne suffisent pas, les administrateurs créent des profils personnalisés combinant des actions liées à la réputation avec des règles de géolocalisation, des listes de blocage et d’autorisation, ainsi que la recherche inversée d’adresses. Une option « Priorité à la réputation de l’URL » permet à la confiance au niveau de l’URL de prévaloir sur un blocage lié à la réputation de l’adresse IP – ce qui s’avère utile lorsqu’un site légitime partage une adresse avec un site signalé, par exemple derrière un CDN. Director et Concerto proposent un outil de consultation de la réputation permettant de vérifier la classification et la géolocalisation de n’importe quelle adresse.

Questions fréquentes

Quelles sont les catégories prédéfinies de réputation IP proposées par Versa ?

Neuf catégories : botnets, déni de service, hameçonnage, proxys, réputation (association générale aux logiciels malveillants), scanners, sources de spam, attaques Web et failles Windows. Une dixième catégorie, « Réseau », est obsolète et n'est conservée que pour des raisons de compatibilité ascendante. Les administrateurs peuvent activer n'importe quelle combinaison de ces catégories lorsqu'ils créent un profil de filtrage IP.

À quelle fréquence « Versa » met-il à jour son flux de réputation IP ?

Versa Il met à jour le flux quotidiennement et en temps réel ; ainsi, les nœuds de botnets, les hôtes de hameçonnage et les sources de balayage nouvellement identifiés sont pris en compte dans l'application des règles sans que l'administrateur ait à modifier manuellement les listes de blocage. Les appareils VOS l'utilisent automatiquement dès qu'un profil fait référence à des actions basées sur la réputation.

La réputation d'une adresse IP et celle d'une URL peuvent-elles entrer en conflit ?

Oui. Le blocage fondé uniquement sur la réputation de l'adresse IP peut entraîner le blocage de sites légitimes partageant une adresse avec un site malveillant, ce qui est fréquent derrière les CDN. Le paramètre « Priorité à la réputation de l'URL » résout ce problème en permettant à une réputation d'URL fiable de prévaloir sur un blocage basé sur la réputation de l'adresse IP, en fonction d'un seuil de priorité de risque configurable.

Quelles mesures coercitives une politique de sécurité peut-elle appliquer en fonction de la réputation IP ?

Les actions disponibles sont les suivantes : « Autoriser », « Alerter » (autoriser et enregistrer), « Rejeter le paquet », « Rejeter la session » et « Refuser », ainsi que des actions personnalisées telles que la redirection vers un portail captif, l'affichage d'une invite de code PIN de contournement ou l'affichage d'une page d'explication. Les administrateurs attribuent une action spécifique à chaque catégorie de réputation ou règle de géolocalisation d'un profil.

Un administrateur peut-il vérifier la réputation d'une adresse IP spécifique ?

Oui. Director et Concerto intègrent un outil de recherche de réputation : il suffit de saisir le nom d'une organisation et une adresse IP pour que l'interface affiche sa classification actuelle et sa localisation géographique. Cet outil est utile pour vérifier l'effet d'une règle avant ou après son déploiement, ou pour analyser le trafic.

En savoir plus sur la réputation IP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la réputation IP, voici quelques liens qui pourraient vous intéresser.