目次
はじめに：通常のWeb通信に潜む匿名化プロキシ
VPNやプロキシは、プライバシー保護や検閲回避などの正当な目的で利用される一方、攻撃者が接続元を隠し、通常のユーザーになりすますための手段にもなっています。
Spurが200人を超えるセキュリティ担当者を対象に実施した調査では、94％の組織が、VPNまたはレジデンシャルプロキシが関係するセキュリティインシデントを経験したと回答しています。
さらに、VLESS、VMess、Hysteria2などの検閲回避用プロキシは、一般的なWeb通信に見せかける機能を備えています。
IPブラックリスト、WAF、IDS/IPSだけでは、通信の背後にある匿名化インフラを見抜けない場合があります。
本記事では、匿名化プロキシが従来のセキュリティ対策をすり抜ける理由と、SpurのIPインテリジェンスを利用して接続元インフラを可視化する方法を解説します。
匿名化インフラが攻撃者に利用される理由
攻撃者にとって、重要なのは通信内容を隠すことだけではありません。
実際の接続元、地域、利用環境を隠し、正規ユーザーからのアクセスに見せかけることも重要です。
商用VPN、レジデンシャルプロキシ、モバイルプロキシ、Tor、ホスティング環境などを利用すると、次のような活動を多数のIPアドレスへ分散できます。
- Credential Stuffingやアカウント乗っ取り
- 不正アカウントの大量作成
- APIの不正利用やWebスクレイピング
- 脆弱性の探索や大規模スキャン
- 決済不正やキャンペーンの悪用
- データの持ち出しやC2通信
多数のIPアドレスから少量ずつアクセスすれば、IP単位のレート制限やブロックを回避しやすくなります。
アクセス地域やISPも正規ユーザーと一致させられるため、位置情報だけを使った判定も十分ではありません。
通常のWeb通信に紛れるGFWプロキシ
中国のグレート・ファイアウォール（Great Firewall：GFW）による検閲を回避するため、多様なプロキシプロトコルが開発されています。
Spurの調査では、VLESS、VMess、Juicity、Hysteria、Hysteria2、Shadowsocks、Trojan、TUIC、Naive、Amneziaなど、多数のプロトコルが確認されています。
これらのプロトコルは、主に次の目的で設計されています。
- DPI（Deep Packet Inspection）による通信の識別を回避する
- 検閲側からの能動的なプローブや改ざんに耐える
- 一般的なブラウジング通信を模倣する
- 安定した高速通信を維持する
実装によっては、正規の証明書チェーンに見せかけたり、TCP、WebSocket、gRPC、QUICなど複数の通信方式を利用したりします。
接続先が通常のWebサイトのように応答する構成もあり、表面的な情報だけではプロキシと判断できません。
検閲回避技術そのものは悪意のあるものではありません。
しかし、高い秘匿性と通信性能は、攻撃者が接続元を隠し、スキャン、データの持ち出し、C2通信などを行うためにも転用できます。
WAF・IDS/IPS・ブラックリストだけでは見抜けない理由
WAFやIDS/IPSは、攻撃シグネチャ、不審なペイロード、異常なリクエストなどの検知に有効です。
しかし、正しい形式のログインや一般的なHTTPS通信として送られるアクセスでは、通信内容に明確な異常が現れない場合があります。
通常のWebサーバーを装う
GFWプロキシの中には、接続時に通常のWebページやHTTP応答を返すものがあります。
Webサーバーとして正常に応答することは、安全性の証明にはなりません。
証明書やSNIを利用して偽装する
正規サイトに見える証明書チェーンやSNIを利用すると、暗号化通信の外側からプロキシの用途を判断することが難しくなります。
SNI許可リストを中心に構成されたアクセス制御でも注意が必要です。
正規CDNのIPアドレスを経由する
CDNフロンティングが利用されると、通信先は正規CDNのIPアドレスに見えます。
IPアドレスの所有者や一般的なレピュテーションだけでは、その内側で行われる匿名化通信を把握できません。
IPアドレスが継続的に変化する
VPNやプロキシの出口IPは頻繁に入れ替わります。
過去に悪性と判定されたIPアドレスを集める静的なブラックリストでは、新しく利用されたインフラへの対応が遅れます。
必要なのは、「過去に攻撃へ使われたIPアドレスか」だけでなく、「現在、そのIPアドレスがどのようなネットワークインフラとして使われているのか」という情報です。
特に識別が難しいレジデンシャルプロキシ
レジデンシャルプロキシは、一般家庭や個人が利用するISP回線を出口として通信します。
データセンターやVPN事業者のIPアドレスではなく、通常の住宅回線に見えるため、匿名化インフラの中でも特に識別が困難です。
例えば、不正ログインが普段と同じ国や地域の住宅IPから行われ、リクエストの形式にも異常がなければ、正規ユーザーからのアクセスに見える可能性があります。
また、大規模なプロキシネットワークでIPアドレスを頻繁に切り替えると、同一IPからの大量アクセスという分かりやすい兆候も残りません。
Spurは、単純なデータセンターIPの分類にとどまらず、レジデンシャルプロキシ、モバイルプロキシ、VPNサービスなど、接続元の背後にある具体的なインフラを可視化します。
Spurが提供するIPインテリジェンス
Spurは、匿名化・難読化されたインターネット通信を分析し、IPアドレスへ検証可能なコンテキストを付加するIPインテリジェンスです。
Spurは、数億規模のIPアドレスと1,000を超えるVPN・プロキシサービスを継続的に観測しています。
IPアドレスごとに、地理情報、ASN、VPN・プロキシの帰属、デバイスや接続タイプ、トンネルの入口・出口など、20を超える属性を提供します。
GFWプロキシの調査では、多数のプロトコルと実際に通信するためのライブラリと、新しい検出手法を組み込んだスキャン基盤を構築しています。
これにより、把握するGFWプロキシの範囲を約10万IPから100万IP超へ拡大しました。
Spurの価値は、IPアドレスを単に「安全」「危険」に分類することではありません。
なぜその接続に注意すべきなのかを説明できるインフラ情報を、認証、WAF、SIEM/XDR、不正対策、脅威ハンティングなどの判断へ追加できる点にあります。
現在利用できる3つの提供方法
Context API
Context APIは、IPv4アドレスを送信し、SpurのIPインテリジェンスをリアルタイムに取得するREST APIです。
地理情報、ASN、VPN・プロキシの種類やサービス、匿名化方法、接続情報など、20を超える属性を取得できます。
認証、不正検知、アクセス制御、SIEMのイベントエンリッチメントなど、IP単位で即時判断したい処理に適しています。
PythonおよびGoのSDKも用意されています。
Monocle Session Enrichment
Monocleは、個々のWebセッションをリアルタイムに評価するセッションインテリジェンスです。
VPN、レジデンシャルプロキシ、ホスティング、モバイルプロキシ、ボットや自動化などのシグナルをセッション単位で確認できます。
CDNやWebアプリケーションと連携し、許可、監視、追加認証、ブロックなどのポリシー判断に利用できます。
IPアドレス自体に過去のラベルが付いていない場合でも、そのセッションがプロキシを利用している兆候を確認できる点が特徴です。
オンプレミスデータフィード
オンプレミスデータフィードは、SpurのデータセットをJSON形式で自社環境へ取り込み、外部APIを呼び出さずに利用する方法です。
大量のIPアドレスを処理するSIEM、データレイク、分析基盤、機械学習パイプラインなどに適しています。
データ主権、プライバシー、低遅延処理が求められる環境でも利用できます。
現在のデータに加え、インシデント調査に利用できる履歴データも提供されます。
Spurを活用できる6つのユースケース
1．不正ログインとアカウント乗っ取り対策
有効な認証情報が使われた場合でも、接続元がレジデンシャルプロキシや匿名化VPNに関連していれば、追加MFA、アクセス制限、手動調査などを適用できます。
2．不正アカウント作成の防止
無料トライアル、紹介特典、クレジットなどを狙った大量登録について、フォームの内容だけでなく、接続元インフラとセッション情報を含めて判断できます。
3．API不正利用・スクレイピング対策
多数の住宅IPやモバイルIPへ分散されたアクセスを、背後にあるプロキシサービスや接続タイプから評価します。
WAF、API Gateway、Bot対策、レート制限などの判断を補完できます。
4．境界防御と脅威ハンティング
匿名化インフラから行われるスキャン、侵入試行、C2通信の可能性を調査できます。
過去の通信ログに含まれる接続元IPをSpurのデータと照合し、不審な通信を洗い出すこともできます。
5．SOCのアラートトリアージ
SIEM/XDRのアラートへネットワークインフラの情報を追加し、調査の優先順位付けやインシデントの関連付けに利用できます。
6．リモートアクセスの検証
接続元が一般的なISP回線、商用VPN、ホスティング、レジデンシャルプロキシのどれに該当するかを確認します。
Identity Provider、EDR、UEBA、ゼロトラストなどの情報と組み合わせ、リモートアクセス時のリスク判断を補強できます。
導入によって得られた効果
Spurの公式事例では、IPインテリジェンスとセッション情報を実際の業務フローへ組み込むことで、次のような効果が報告されています。
- グローバルテクノロジー企業：不正アカウント作成の90％超を削減し、関連コストを月50万米ドル超削減。投資対効果は約40倍
- テクノロジー企業：Spurのデータフィードを利用し、不正なサインアップの99.8％をブロック
- 金融機関：オンプレミスの匿名化・レジデンシャルプロキシデータを利用し、アカウント乗っ取りを40％超削減
- ゲーム企業：匿名化サービスの92％を識別し、プレイヤーの安全性に関するリスクを低減
成果を生むポイントは、VPNやプロキシを一律に遮断することではありません。
接続元インフラ、認証、ユーザー行動、アクセス対象などを組み合わせ、リスクに応じた制御を適用することが重要です。
まとめ
高度な匿名化プロキシは、通常のWeb通信を模倣し、正規のCDN、証明書、住宅IP、モバイルIPなどを利用します。
そのため、過去の悪性IPを基準とするブラックリストや、通信内容を中心に確認する従来の対策だけでは、接続元の実態を捉えられません。
Spurは、VPN、レジデンシャルプロキシ、モバイルプロキシ、ホスティング、GFWプロキシなどを継続的に観測し、IPアドレスやWebセッションへ説明可能なインフラ情報を追加します。
Context API、Monocle、オンプレミスデータフィードを使い分けることで、認証、不正利用対策、WAF、SIEM/XDR、SOC、脅威ハンティングなど、既存のセキュリティ運用へSpurのIPインテリジェンスを組み込めます。
匿名化プロキシ対策、レジデンシャルプロキシの検知、アカウント乗っ取り対策、既存のWAF・SIEM/XDRとの連携などで課題をお持ちの場合は、Spurの導入や利用方法についてお気軽にお問い合わせください。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！