IP アドレスの調べ方：実在する 3 つの IP と 3 つの判定

2026 年 10 月 19 日 05:34 UTC に、3 つのアドレスを同じパイプラインに通したところ、3 通りの判定が出ました。Mullvad VPN の出口はスコア 100 で block。検証済みの AhrefsBot アドレスは Spamhaus に掲載されているため 59 で step_up。DigitalOcean のサーバーは 12 で allow でした。11 日前には、その同じ AhrefsBot アドレスは 23 で allow でした。

以下では、12 のチェックを順番に、それぞれで読むフィールド、対応の基準にしているしきい値、abuse の報告先、そして IP 調査の法的な限界とともに説明します。

IP アドレスの調べ方：3 つのアドレス、3 つの判定

同じ 12 の問いによって 3 つのアドレスは 3 つの異なる対応に振り分けられ、いずれの場合も 1 つのシグナルが決め手になりました。以下は当社 API のキーなしルックアップで、記載の時刻に保存した値を編集なしで載せています。

当社の区分は、25 までが allow、50 までが review、75 までが step_up、75 超が block です。チェックの順序は、ルーティング可否、所有者、ネットワークの種類、ホスト名、匿名化ツール、クローラーまたはスキャナー、ブロックリスト、スコア、判断、報告、有効期限と法的な限界です。

教訓は中央の行にあります。検証済みクローラーでもブロックリストに載ることはあり、当社スコアのクローラー割引だけでは allow に留められませんでした。

始める前に：受動的に進め、IP が現れた状況を記録する

何かを調べる前に、アラートの文脈を書き留めてください。タイムゾーン付きのタイムスタンプ、アクセスされたポートやパス、その挙動（/wp-admin や /.env へのプローブ、ログイン失敗の連発など）です。この文脈は、どのルックアップにも劣らず判定を左右します。

受動的に進めてください。使うのはルックアップ、レジストリ、レピュテーションサイトのみで、そのアドレスにスキャンを返してはいけません。ポートスキャンはホストの運営者に気づかれる恐れがあり、許可なくネットワークをスキャンすると法律やプロバイダーの規約に違反する可能性があります。

ステップ 1：ルーティング可能なパブリックアドレスか

そのアドレスがそもそもインターネット経由で自社に到達し得たかを確認します。threat.is_bogon と threat.is_cgnat を読みます。ボゴンとは、プライベート範囲や予約範囲のように、パブリックインターネットに現れるはずのないアドレスです。インターネット境界で送信元がボゴンなら、内部トラフィック、誤設定のプロキシ、偽装パケットのいずれかであり、このパイプラインの残りは当てはまりません。

キャリアグレード NAT（CGNAT）のアドレスはルーティング可能ですが共有されています。1 つのモバイルまたはブロードバンドのアドレスに数百人の契約者が同時にいることがあり、そのアドレスについて下した判断はその全員に及びます。

3 つのアドレスはいずれも is_bogon が false、is_cgnat が false だったため、パイプラインを先に進みます。

ステップ 2：所有者は誰か。ASN と RDAP

所有者は 2 つの記録からわかります。そのアドレスを広告している自律システム（AS）と、そのブロックのレジストリ記録です。経路については asn.asn、asn.org、asn.rpki を、登録については whois.org、whois.netname、whois.registered、network.abuse_contact を読みます。

記録に書かれていないことにも注目してください。Mullvad サーバーの記録のどこにも「Mullvad」とは書かれていません。そこにあるのは Mullvad のネットワークを運営する会社 31173 Services の名前で、whois.has_vpn_keywords は false です。DigitalOcean の whois.org は「none」だったため、所有関係は ASN が担っています。背景が必要なら、ASN からネットワークについて何がわかるかをご覧ください。

保存された記録が乏しいときは、一次情報に当たります。登録データは 5 つの地域インターネットレジストリにあります。ARIN、RIPE NCC、APNIC、LACNIC、AFRINIC です。どれがそのレンジを保持しているかは、IANA の RDAP ブートストラップファイルでわかります。RDAP は WHOIS の後継にあたる、構造化された JSON 形式の仕組みです。05:43 UTC に 5.39.1.230 の RIPE RDAP 記録を開くと、より小さなブロック 5.39.1.224/27 が表示され、その登録組織は Ahrefs Pte Ltd でした。当社の保存記録は OVH のより大きなフェイルオーバーブロックを反映しています。最も具体的なレジストリ記録が優先されます。

ステップ 3：どんな種類のネットワークか

ネットワークの種類は後続のあらゆるシグナルの前提になるため、レピュテーションデータより先に読みます。フィールドは asn.asn_type、asn.user_type、asn.connection_type、detection.is_hosting、detection.is_mobile です。

3 つともホスティングのアドレスですが、block で終わったのは 1 つだけです。ホスティングは文脈であって有罪の証拠ではありません。VPN の出口も、クローラーも、自社の CI ランナーも、データセンターにあります。これが、ホスティング IP が不正の証拠にならない理由です。AhrefsBot の user_type が search_engine_spider であることが、2 番目のアドレスがクローラーだという最初の手がかりです。

ステップ 4：ホスト名は何を示すか。逆引き DNS と FCrDNS

逆引き DNS は、ブロックの所有者が設定したホスト名を返します。正引き確認付き逆引き DNS（FCrDNS）は、そのホスト名が同じ IP に正引きで戻るかを確認します。network.ptr_record と network.fcrdns_valid を読み、そのうえで自分でも確認してください。保存された PTR は実際の DNS より遅れていることがあるためです。以下は 2026 年 10 月 19 日 05:42 UTC に実行したものです。

AhrefsBot のアドレスは実際の確認で FCrDNS に合格しており、Ahrefs のロボットページには、クローラーのホスト名は常に ahrefs.com または ahrefs.net で終わると書かれています。ただし当社 API はこのアドレスの PTR を保存していません。そのため後で no_ptr_datacenter が発火します。保存フィールドよりも、実際に実行した結果を信頼してください。

DigitalOcean のサーバーは逆のケースです。当社 API は無関係な第三者のホスト名を保存しており、fcrdns_valid は false で、fcrdns_mismatch メソッドが発火します。しかし自分で実行した dig -x では PTR がまったく返らなかったため、保存されている名前は古いものです。このような不一致は弱いシグナルです。発火したメソッドは 2 つだけで、それでもスコアは 12 でした。

ステップ 5：VPN、プロキシ、Tor 出口、リレーか

このステップでは、誰かがそのアドレスの陰に隠れていないかを確認します。detection.is_vpn、is_proxy、is_tor、is_relay、vpn_provider、relay_provider、last_seen を読みます。

Mullvad サーバーは vpn_confidence 95 で名前が特定されています。Mullvad が自社アプリ向けに公開しているサーバーリストに載っているためです。これが、VPN の IP をプロバイダーに対応づける方法であり、限界もあります。リストにない VPN はプローブで検出できても、名前は特定されません。Tor については、そのアドレスを Tor Project の一括出口リストと照合するか、Tor 出口トラフィックの検出のガイドをご覧ください。iCloud Private Relay のようなリレーは VPN ではありません。一般のブラウザユーザーを運ぶため、当社のスコアはリレーのアドレスを 60 に制限しており、block に達することはありません。

ステップ 6：検証済みクローラーか、既知のスキャナーか

検証済みクローラーとは、運営者が公開しているレンジリストに載っているアドレスであり、スキャナーとはインターネット全体をプローブするインフラです。threat.crawler.verified、name、operator、verification_method を読み、続いて threat.is_scanner と threat_types を読みます。

AhrefsBot は Ahrefs の公開レンジと一致したため、運営者は確定しています。User-Agent が Googlebot を名乗るものも同様に扱うべきです。信頼する前に、Googlebot を名乗る IP を検証してください。全体像はIP アドレスによるボット検出で説明しています。

4 行目は、ミシガン州アナーバーにある Censys のスキャナーで、05:34 UTC にルックアップしたものです。is_scanner は true、スコアは 0、allow で、detection_methods は空のリストでした。スキャナーのフラグは当社のスコアを動かさないので、直接読んでください。

ステップ 7：ブロックリストに載っているか、いつからか

ブロックリストは、そのアドレスから不正が観測されたことを記録するものです。重要なのは掲載の有無よりも日付です。threat.is_abusive、is_spammer、is_botnet、dnsbl_sources を読みます。

次に、外部ソースを受動的に確認します。

• Spamhaus。 ZEN は Spamhaus の無料 IP ブロックリストを統合したもので、掲載の詳細は Spamhaus の IP・ドメインレピュテーションチェッカーで確認するようページに案内されています。
• AbuseIPDB。 AbuseIPDB にはユーザーから投稿された不正報告が表示されます。総件数ではなく、信頼度スコアと最新の報告の日付を読んでください。
• VirusTotal。 VirusTotal には、そのアドレスをフラグ付けしているセキュリティベンダーの数と、関連するファイルや URL が表示されます。
• Shodan と Censys。 Shodan と Censys は、スキャンでそのホスト上ですでに見つかったものを示すため、ホストに触れずに公開サービスを把握できます。

新しさは有無に勝ります。先週の掲載は重要ですが、6 か月前のクリーンな結果は今日についてほとんど何も教えてくれません。

ステップ 8：スコアと発火したメソッドを読む

スコアは、ここまでのすべてを日付付きで集約したものであり、scoring.detection_methods はそのスコアになった理由を示します。以下は AhrefsBot のルックアップを、このプレイブックで使うグループだけに絞ったもので、値は編集していません。

3 つのアドレスすべてのメソッドは次のとおりです。

verified_crawler は当社のスコアリングで 28.5 を引く免責シグナルです（信頼度 0.95 では 30 を引きます）。それでも、2 つのブロックリスト系メソッドとスパム掲載を相殺するには足りませんでした。レピュテーションは履歴であり、スコアはその時点のスナップショットです。詳しくは、IP レピュテーションの成り立ちをご覧ください。

ステップ 9：IP、プレフィックス、ASN のどれをブロックするか決める

スコアの区分を対応に対応づけ、そのうえで対応の範囲をどこまで広げるかを選びます。以下が、当社が実際に取る判断です。

範囲は対応そのものと同じくらい重要です。一度きりの事案なら IPv4 アドレス 1 件をブロックします。IPv6 では、1 人の顧客が通常 /64 全体を管理しているため、単一アドレスではなく IPv6 の /64 をブロックします。ASN 全体をブロックするのは、実際のユーザーが決して利用しないホスティングネットワークに限り、モバイルキャリアや CGNAT の範囲には決して行いません。

完全な禁止よりも、レート制限とチャレンジを優先してください。禁止は、来週そのアドレスを使う別の誰かにも及びます。ログから fail2ban などで禁止を自動化するのは、それだけで独立したテーマです。どのシグナルがどの攻撃を止めるかについては、どの IP シグナルがどの攻撃を止めるかをご覧ください。

ステップ 10：不正な IP をネットワークの abuse 連絡先に報告する

abuse の報告は、レジストリ記録に由来する network.abuse_contact のアドレスに送ります。

形容詞ではなく証拠を送ってください。タイムゾーン付きのタイムスタンプ、ログの行、宛先のホストとポート、そのトラフィックが何をしたかです。ほかの防御担当者にも見えるよう、AbuseIPDB にも登録してください。

ステップ 11：IP の判定はどのくらい有効か

判定が有効なのは数か月ではなく数日で、実際に変わるところも確認しました。2026 年 10 月 8 日、ウェブスクレイピングに関する記事のために 5.39.1.230 をルックアップしたところ、crawler.verified は true、is_abusive は true、スコアは 23 で allow でした。メソッドは abusive_listed、datacenter_blocklisted、no_ptr_datacenter、verified_crawler でした。

2026 年 10 月 19 日 05:34:32 UTC には、同じアドレスが 59 と step_up を返しました。クローラーも、検証済みレンジも、運営者も同じです。メソッドで変わったのは known_spammer がリストに加わったことで、現在のルックアップでは is_spammer が true、dnsbl_sources に zen.spamhaus.org があります。10 月 8 日にはこの 2 つのフィールドを記録していなかったため、スパム掲載がスコアに新しく加わったことはわかりますが、Spamhaus が掲載した日はわかりません。検証済みクローラーの割引は引き続き適用されましたが、それでは足りませんでした。11 日間で、このアドレスは 2 つの区分をまたいで動きました。

当社の脅威フィードとクローラーのレンジファイルはどちらも毎日更新されるため、判定は一晩で変わり得ます。ルールは、すべての判定に日付を保存し、フィードの更新周期より古い判定に基づいて動く前にルックアップをやり直すことです。フラグは判定ではなく、判定には期限があります。

ステップ 12：IP アドレスから個人を特定できるか

できません。IP アドレスからたどり着くのはネットワークであって個人ではありません。アドレスと時刻から契約者を特定できるのは ISP やホストだけで、それも裁判所命令などの法的手続きに基づいてのみ開示され、あなたにも当社にも開示されません。

調査するのは自社システムに接触したアドレスに限り、ネットワークの段階で止め、誰かの身元を暴いたりスキャンしたりしようとしないでください。ジオロケーションも概算です。当社の 3 つのルックアップはアドレスをフランクフルト、パリ、ノースバーゲンに位置づけましたが、これはデータセンターを市のレベルで示すだけで、番地を示すものではありません。

次のアラートで同じパイプラインを実行する

アラートキューの次のアドレスを取り出し、アラートの文脈を横に置いて同じルックアップに通してください。12 のチェックを自動化するには、ルックアップ API のドキュメントから始めてください。

キーなしのルックアップは 1 分あたり 30 件が上限で、この上限は厳格です。1 分以内の 30 件目のリクエストはすでに 429 を返し、呼び出し元 IP を 2 時間ロックアウトします。スクリプトには無料キーを使ってください。すべてのフィールドが使え、1 日 1,500 件のルックアップができます。ルックアップを SIEM に大規模に取り込むことが、多忙なキューの次の段階です。

よくある質問

不審な IP アドレスはどのように調査しますか？

受動的な手段だけを使い、順番に進めます。ルーティング可能なパブリックアドレスであることを確認し、所有者とネットワークの種類を読み、ホスト名、匿名化ツールやクローラーのフラグ、ブロックリストへの掲載とその日付を確認します。そのうえでスコアに基づいて対応し、日付を記録します。

IP アドレスが悪意あるものかどうかを確認するには？

1 つのチェックだけでは証明できません。Spamhaus などの現在の掲載、AbuseIPDB の最近の不正報告、匿名化ツールのフラグを確認し、自社システムでそのアドレスが何をしたかと照らし合わせてください。フラグは、そのアドレスから不正が観測されたことを示すだけで、このリクエストが不正だという意味ではありません。

IP アドレスから個人を特定できますか？

自力ではできません。IP からわかるのはネットワーク事業者までで、アドレスと時刻から契約者を特定できるのはその事業者だけです。事業者は法的手続きに基づいてのみ開示し、あなたには開示しません。代わりに、そのネットワークの abuse 連絡先へ報告してください。

ブロックするのは IP、プレフィックス、ASN 全体のどれですか？

一度きりの事案なら IPv4 アドレス 1 件、IPv6 は単一アドレスではなく /64、ASN 全体は実際のユーザーが決して利用しないホスティングネットワークに限ります。モバイル回線や CGNAT の範囲は、1 つのアドレスに多数のユーザーがいる可能性があるため、ブロックを避けてください。

検証済みクローラーは常に許可して安全ですか？

いいえ。AhrefsBot の 5.39.1.230 は 2026 年 10 月 19 日に Ahrefs の公開レンジと一致しましたが、Spamhaus ZEN にも掲載されており、スコアは 59、step_up でした。検証でわかるのはそのアドレスを運用している主体であり、レンジが清潔であることではありません。

IP 調査の結果はどのくらい有効ですか？

数か月ではなく数日です。同じ AhrefsBot のアドレスは、2026 年 10 月 8 日には 23、allow でしたが、10 月 19 日には 59、step_up でした。古い判定に基づいて動く前にルックアップをやり直し、すべての判定に日付を保存してください。