Проблема житлового проксі: спільна інфраструктура та швидка ротація

Ми проаналізували понад 170 мільйонів IP-адресів проксі-резидентів протягом 90-денного періоду (86M IPv4, 87M IPv6) і виявили два шаблони, які пояснюють, чому виявлення шахрайства так складно: 46% житлових проксі-IP-адресів з'являються одночасно в мережі декількох провайдерів (70% для IPv4, 22% для IPv6). Та сама компрометована інфраструктура, інфіковані маршрутизатори, пристрої, завантажені шкідливим програмним забезпеченням, додатки для обміну пропускною здатністю, доступні через різні проксі-служби. IP-адреси в мережі Bright Data часто доступні також через Smartproxy, Oxylabs та багато інших провайдерів. Протягом більш тривалого часу інфраструктура IPv4 демонструє ще більш високе перекриття між провайдерами, з майже 70% IPv4 адресів, що з'являються через декілька провайдерів. 60% житлових проксі-IP-адресів спостерігаються лише один раз у 90-денному вікні (32% для IPv4, 87% для IPv6). Ті самі адреси не зберігаються, вони швидко обертаються між активним використанням проксі-адресів і законним житловим трафіком, витісняючись швидше, ніж системи репутації можуть відстежувати їх. адреси IPv6 показують надзвичайно високий показник з 87% спостереженням лише один раз, демонструючи їх ефемерний характер. Навіть протягом 90-денного періоду, більшість житлових проксі-IP-адресів видно тільки один раз, що робить майже неможливим для традиційних систем репутації побудувати значущу історію зловживання. Для команд з шахрайства, які покладаються на традиційні дані про репутацію IP, історію зловживань або моделі оцінювання ризиків, ці дві реальності створюють критичну сліпу точку. Чому житлові прокси переривають традиційне виявлення Резиденційні проксі фундаментально відрізняються від проксі-центру даних або VPN. Вони спрямовують трафік через реальні споживчі підключення ISP: компрометований маршрутизатор вашого сусіда, ноутбук студента, який працює в програмі для обміну пропускною здатністю, розумний телевізор, заражений шкідливим програмним забезпеченням. Ці IP-адреси виглядають легітимними, тому що вони є законними адресами, просто тимчасово викрадені для проксі-трафіку. Виклик полягає не тільки в виявленні: це обертання. Житлові проксі-IP-адреси постійно циркулюють між трьома станами: Активний як проксі - В даний час маршрутує шкідливий трафік Неактивні - тимчасово видалені з проксі-полу Легітимне використання - повернення до обслуговування фактичного власника Ця ротація відбувається швидко: іноді годинно, іноді щодня. IP маршрутизація атаки навантаження довіреності в 3pm може бути потоковий Netflix для законного користувача в 6pm. Проблема обертання: IP-адреси забирають швидше, ніж репутація може відстежувати У січні 2016 року аналіз Більше ніж 90-денне вікно показує, що ці адреси обертаються настільки швидко, що історична репутація стає ненадійною.В середньому, житловий проксі-IP видно всього за 4.56 днів. 170 million residential proxy IPs IPv4: 7,86 днів IPv6: 1.29 днів Цей короткий термін життя пояснює, чому більшість житлових проксі-IP-адресів ніколи не накопичують значущої історії. Іншими словами, більшість IP-адресів зникають після однієї появи. Цей ефект переважно обумовлюється IPv6, в той час як IPv4 також має високий показник: 60% of residential proxy IPs are observed only once IPv4: 33% спостерігалося один раз протягом 90-денного періоду. IPv6: 87% спостерігалося один раз протягом 90-денного періоду. Навіть коли IP-адреси повертаються, вони роблять це невідповідно. Лише 9% IP-адресів повторюються протягом 7 днів: IPv4: 18% повторного спостереження протягом 7 днів IPv6: 0,6% повторного спостереження протягом 7 днів 78% ІП не зберігаються більше 30 днів з моменту першого спостереження: IPv4: 59% випадає за 30 днів IPv6: 99% випадає за 30 днів Тільки 22% знову з'являються через 30 днів, майже повністю за допомогою IPv4: IPv4: 41% повертаються після 30 днів IPv6: 1% відновлюється через 30 днів Житлові проксі-IP-адреси не просто викидаються, вони обертаються. Ті ж самі адреси циклу між активним використанням проксі і сплячістю кілька разів на місяць. IP-адреси можуть маршрутувати атаки в понеділок, зникати з вівторка на четвер, знову з'являтися в п'ятницю, а потім зникати знову на наступному тижні. What this means: This rotation speed destroys the foundation of IP reputation systems. Традиційні моделі репутації IP працюють, будуючи історичні профілі: "Цей IP був пов'язаний з шахрайством, тому відзначити його як високий ризик." Ви теж є: Оцінка звичайних користувачів як шахраїв, тому що вони успадкували IP-адресу, яка була використана як проксі минулого тижня Надання фактичного проксі-трафіку чистого результату, тому що IP-адреса ще не має достатньо історичних даних Моделі оцінки ризику стикаються з тією ж проблемою. Вони збирають поведінку з часом, щоб розрахувати оцінки. Але до того моменту, коли IP накопичує достатньо "поганої поведінки", щоб викликати високий рівень ризику, вона вже викинута з проксі-полу і повертається до законного житлового використання. Затримка між виявленням і оцінкою робить дані постійно застарілими. Проблема перекриття робить ситуацію гіршою Наш аналіз січня 2026 року показав, що ротація не є єдиною проблемою, це повторне використання в масштабі: 46% житлових проксі-IP з'являються в мережах 2+ провайдерів (79 млн з 170 млн IP) 19% з'являються в 5+ провайдерах (33М IP) 9% з'являються в 10+ провайдерах (15M IP) Деякі IP-адреси з'являються до 98 різних груп постачальників (0,3% з'являються у 50+ постачальників) Це означає, що до тієї ж компрометованої інфраструктури отримують доступ через кілька проксі-сервісів. шахрайцям не потрібно змінювати інфраструктуру: вони просто змінюють провайдера, через якого вони купують доступ. Examples from our December 2025 data: 196.22.142.127: Наявність у 101 постачальнику (поточний максимум) 185.53.76.74: Активний у 96 провайдерах 81.169.144.135: Знайдено в 96 постачальників (це єдиний, який ми відзначили як зловмисний) 198.143.60.19: З'являється в 90 провайдерах 196.22.142.127 зразків 196.22.142.127 зразків 185.53.76.74 зразків 185.53.76.74 зразків 81.169.144.135 з них 81.169.144.135 з них 198.143 60 19 198.143 60 19 Ці широко розповсюджені IP-адреси з'являються майже у всіх основних постачальників житлових проксі-провайдерів, включаючи netnut, 922proxy, oxylabs, brightdata, smartproxy, lunaproxy та десятки інших. Чому це порушує виявлення Екосистема житлових проксі-систем більш взаємопов'язана, ніж розуміють більшість команд з шахрайства.Багато провайдерів не управляють незалежною інфраструктурою, вони надходять з тих самих базових пулів: Ті самі компрометовані маршрутизатори, доступні через різні сервіси Ті самі P2P-додатки для обміну пропускною здатністю під різними брендами Те ж саме шкідливе програмне забезпечення харчується кількома проксі-провайдерами Ідентифікація провайдера не є достатньо сильним сигналом. The implication: Якщо ваша система виявлення знаменує IP-адреси "з яскравих даних", але ті ж самі IP-адреси одночасно доступні через вісім інших провайдерів, що відбувається, коли нападник перемикає послуги? Ваша система не розпізнає його як ту ж інфраструктуру. Це перекриття забруднює дані про репутацію IP і надуває помилкові негативи. IP може мати чистий репутаційний бал, тому що він був позначений тільки на одному провайдері, тоді як інші сім провайдерів, які пропонують доступ до того ж IP, ще не були виявлені. Поза житловими: мобільні та дата-центри проксі Пейзаж проксі виходить за межі традиційних житлових IP. Починаючи з грудня 2025 року, IPinfo відстежує повний спектр: маршрутний трафік через мобільні мережі: реальні смартфони та мобільні пристрої, що працюють з проксі-апликаціями.Це особливо складно, тому що мобільні IP-адреси часто діляться на багатьох пристроях за допомогою NAT-класу оператора. IP-адреси, які виглядають як один мобільний користувач, насправді можуть обслуговувати сотні пристроїв. Mobile proxies Користуйтеся хостинговою інфраструктурою, а не житловими ISP. Постачальники, такі як Bright Data і Oxylabs, пропонують басейни проксі-центру даних поряд зі своїми житловими пропозиціями. У той час як IP-адреси датацентру теоретично простіше виявляти (вони походять від відомих хостингових ASN), комерційні проксі-центру даних від великих постачальників все ще широко використовуються для шахрайства та скачування. Починаючи з грудня 2025 року ми відстежуємо проксі-центри даних від шести великих постачальників: Bright Data, ByteZero, DataImpulse, Decodo, Geonode та Oxylabs, що позначають їх суфіксом _datacenter. Datacenter proxies Це відмінність має значення, тому що мобільні і проксі-центри мають різні характеристики і вимагають різних стратегій виявлення, але вони всі є частиною однієї екосистеми зловживань. Що насправді працює: контекст над безпосереднім спостереженням Коли IP-адреси циркулюють між активними і спокійними станами протягом декількох годин, коли басейн оновлюється щотижня з переважно новими адресами, і коли ті ж IP-адреси доступні через декілька провайдерів одночасно, вам потрібен підхід до виявлення, який адаптується до цієї реальності. Оскільки IPinfo підписується на житлові проксі-сервіси і активно підключається через них, ми можемо побачити закономірності, які пропускає висновок на основі виявлення. Більш важливо, ми можемо надати контекстні сигнали, які допомагають командам з шахрайства приймати розумні рішення, незважаючи на цю складність: - Коли останній раз цей IP спостерігався, активно маршрутуючи через проксі-мережу? IP, останній раз побачений 30 днів тому, фундаментально відрізняється від одного активного вчора. Last seen timestamp - Чи був цей IP послідовно в проксі-полюсах (висока наполегливість = вищий ризик) або він нещодавно обертався? Percent of active days - Хоча ми показуємо, який провайдер спостерігався найчастіше, реальна цінність полягає в тому, що IP був виявлений через пряме спостереження по 103 мережах, а не висновок. Provider identification IP-адреси, що маршрутуються через мережі операторів або хостинг-інфраструктуру, позначені суфіксами _mobile або _datacenter, тому що ці типи проксі поводиться по-різному і вимагають різних моделей ризику. Mobile and datacenter tagging Ці тимчасові сигнали мають значення, тому що вони відображають поточний стан, а не історичну репутацію. Кращий стандарт для виявлення житлових проксі Традиційні підходи: бази даних репутації IP, моделі оцінки ризику, поведінкове висновок були побудовані для світу статичних проксі-центр даних. Вони борються з житловими проксі-центром, тому що вони не можуть триматися в ногу з ротацією або враховувати повторне використання між постачальниками. Будь-яка організація, яка оцінює дані проксі-резидентів, повинна запитати: Як був виявлений цей IP?Пряме спостереження або висновок з шаблонів? Наскільки актуальні ці дані? Щоденні оновлення або застарілі списки? З більш ніж половиною проксі-IP-адресів, які з'являються тільки один раз навіть у 7-денному вікні, вчорашні дані вже застаріли. Який контекст часу надається? Коли воно востаннє було видно активним? Наскільки постійно воно з'явилося? Чи відрізняються проксі-центри для мобільних пристроїв і центрів обробки даних? Різні типи вимагають різного поводження. Чи можете ви пояснити цей прапор до відповідності? чітка методологія виявлення має значення. У IPinfo наш підхід починається з виявлення на основі перевірки: підписання на проксі-сервіси та безпосереднє спостереження за тим, які IP-адреси використовуються.Станом на січень 2026 року ми відстежуємо 101 проксі-провайдера для житла та декількох проксі-провайдерів для центрів даних та мобільних пристроїв.Це безпосереднє спостереження за 147 мільйонами IP-адресів дозволило нам виявити перекриття між провайдерами та швидкі щоденні закономірності, і це дозволило нам забезпечити тимчасовий контекст, який адаптується до цієї реальності. Тому що коли житлові проксі-IP-адреси змінюються між шкідливим і законним використанням протягом декількох годин, коли IP-полюс оновлюється щотижня з переважно новими адресами, коли ті ж IP-адреси одночасно доступні через декількох провайдерів, і коли мобільні і проксі-центри додають додаткової складності, історична репутація стає шумом. Важливо знати, які IP-адреси зараз є активними загрозами, зрозуміти, який тип проксі-інфраструктури вони представляють, і мати тимчасовий контекст для прийняття розумних рішень щодо ризику, незважаючи на складність.