IP インテリジェンスとは? 基本的なジオロケーションの先へ

多くの IP ルックアップツールは位置情報を返します。現代の IP インテリジェンスが返すのは、いわば身上調書です。この記事では、データ全体を分解して解説します。各レイヤーに何が含まれ、どこから得られ、どのような判断を支えるのかです。個々のフィールドとその型については、IP データフィールド完全リファレンスを参照してください。

レイヤー 1: ジオロケーション

基盤となるレイヤーです。すべての IP アドレスは、ある国に登録され、特定の地域から広告され、通常は特定の都市で使われるネットワークに属しています。ジオロケーションデータは、レジストリの記録(RIPE、ARIN、APNIC、LACNIC、AFRINIC)、ネットワークトポロジーの分析、能動的な測定を組み合わせて、IP の範囲を物理的な場所に対応付けます。

ジオロケーションのルックアップが返す内容を、Telegram の 91.108.56.1 に対する実際の GeoIPHub レスポンスの geo グループから示します(一部省略、ルックアップ実施は 2026 年 10 月 2 日):

精度は IP の種類によって大きく異なります。住宅向け ISP の IP は、通常は都市レベルまで正確です。CDN のエッジノードやエニーキャスト IP(Cloudflare の 1.1.1.1 など)は、ユーザーではなくネットワークインフラの所在地としてジオロケーションされます。モバイルの IP は国と地域までは正確ですが、都市レベルの信頼性は下がります。VPN の IP は、ユーザーの実際の位置ではなく VPN サーバーの場所としてジオロケーションされます。これが、ジオロケーションだけでは足りない最初の理由です。

レイヤー 2: ASN とネットワークの所有者

すべての IP は自律システム (AS)によって広告されています。AS は固有の ASN を持ち、一連の IP 範囲を管理するネットワークです。ASN はその IP が属するネットワークを誰が運用しているかを示し、入手できる単一のデータの中でも特に情報量の多いものの一つです。Cloudflare の 1.1.1.1 に対する asn グループは次のとおりです(実際のレスポンスを一部省略):

ASN の種類:

• ISP / 住宅(Comcast、Deutsche Telekom、Jio): 実在の人によるトラフィック
• モバイルキャリア(AT&T Mobility、Vodafone): CGNAT の背後にあるスマートフォン
• データセンター / クラウド(AWS、Google Cloud、Azure、OVH): サーバーインフラ
• CDN(Cloudflare、Akamai、Fastly): コンテンツ配信のエッジノード
• ホスティング / コロケーション: 通常はクラウド規模ではなく、レンタルされたサーバー
• VPN ASN: VPN サーバーの運用実績が記録されている自律システム

ASN の種類は、行動の証拠を考慮する前の事前確率にあたります。AS7922 (Comcast) からのリクエストは、ほぼ確実に実在の人からのものです。AS16509 (Amazon) からのリクエストは、ほぼ確実にサーバーか自動化されたプロセスからのものです。この 1 つのデータによって、その接続に何を期待し、何を受け入れるべきかが変わります。

レイヤー 3: インフラの分類

ASN よりさらに踏み込んで、インフラの分類では、その IP が動作しているネットワーク環境の具体的な種類を特定します:

• 住宅: 消費者向け ISP によって家庭のブロードバンド回線に割り当てられたもの
• モバイル: 携帯電話網上のスマートフォンに CGNAT 経由で割り当てられたもの
• データセンター: クラウドプロバイダー、専用サーバー、コロケーション施設で稼働しているもの
• ビジネス: 企業のオフィスインフラに割り当てられたもの
• CDN エッジ: トラフィックがコンテンツ配信ネットワークのエッジノードから出ているもの
• 衛星: 衛星 ISP(Starlink、Viasat)によって割り当てられたもの

DigitalOcean のドロップレット(104.248.50.21)の場合、分類フィールドは次のようになります(実際のレスポンスを一部省略):

このレイヤーが不正対策やアクセス制御で重要なのは、ほとんどの消費者向けプロダクトでは、実際のユーザーの大半が住宅 IP かモバイル IP から接続するからです。データセンターの IPが消費者向けプロダクトにアクセスするのは、構造的に珍しいことです。常に悪意があるわけではありません(開発者、自動化されたパイプライン、法人ユーザーは正当にデータセンターから接続します)が、リスク計算で重み付けするには十分に珍しいと言えます。

レイヤー 4: 匿名化の検出

匿名化の検出は、見えている IP がユーザー本人の IP なのか、経由しているリレーなのかを判定します。主な種類は 3 つです:

VPN (仮想プライベートネットワーク): ユーザーのトラフィックは VPN サーバーから出ていきます。ジオロケーションにはユーザーの実際の位置ではなく VPN サーバーの場所が表示されます。検出には、公開されているプロバイダーのサーバーリスト、能動的なプロトコルプロービング(OpenVPN、IKEv2、PPTP、L2TP のハンドシェイク)、ASN の履歴を使います。NordVPN、ExpressVPN、Mullvad などの商用 VPN プロバイダーは、公開されたインフラを運用しており、確実に検出できます。

プロキシ (HTTP/SOCKS): ネットワーク層ではなくアプリケーション層で中継されるトラフィックです。SOCKS5 や HTTP プロキシは特徴的なポートでそれぞれの挨拶シーケンスに応答するため、ポートプロービングで検出できます。

住宅プロキシ: 最も巧妙な匿名化手段です。トラフィックは、マルウェアに感染したデバイスや有料のピアツーピアプロキシネットワークから集められた、実際の住宅 IP を経由して出ていきます。IP 自体は家庭向け ISP のものなので、ASN に基づく検出は通用しません。検出には行動シグナルが必要です。プロキシネットワークの広告に同じ IP が現れること、異常な入れ替わりのパターン、1 世帯の接続とは整合しない UA の多様性などです。

Tor: Tor 匿名化ネットワークは、トラフィックを暗号化された複数のリレーに通したうえで、Tor の出口ノードから送り出します。出口ノードの IP は Tor のコンセンサスディレクトリに公開されているため、検出は確実で網羅的です。

Mullvad の公開リレーリストに載っている WireGuard サーバー 185.213.155.73 の detection グループは次のとおりです(実際のレスポンスを一部省略):

レイヤー 5: 脅威インテリジェンス

脅威インテリジェンスは、悪意ある行動の外部証拠を集約します。ネットワークの不正利用窓口への報告、ハニーポットでの捕捉、ボットネットのシンクホールデータ、スキャン活動のログ、スパムトラップの検知などです。

主なシグナル(IP レピュテーションスコアリングの素材です):

• ブロックリストへの掲載: この IP を載せている独立したブロックリストの数と、そのカテゴリ
• 不正利用の報告: ISP や不正利用窓口への苦情の件数と新しさ
• ボットネットの履歴: 既知のマルウェアのコマンド&コントロールインフラとの関連
• スキャナーの指紋: ポートスキャン、脆弱性プロービング、クレデンシャルスタッフィングの証拠

これらは threat グループに格納されます。先ほどの Mullvad サーバーでは、脅威カテゴリは匿名化サービスそのものだけです(実際のレスポンスを一部省略):

脅威インテリジェンスには本質的に時間的な制約があります。ブロックリストのエントリは、IP の持ち主が変われば期限切れになります。3 か月前の不正利用報告は弱い証拠で、昨日のスキャナー活動は強い証拠です。効果的な脅威インテリジェンスは、月次のバッチで更新するのではなく、継続的に更新されます。位置情報やインフラのデータと組み合わせることで、これらのフィードはエッジでのブロック、不可能な移動のチェック、地域制限の根拠になります。

レイヤー 6: リスクスコア

上記のすべてが、0 から 100 までの 1 つのスコア scoring.fraud_score に集約されます。判断を振り分けるための数値です。同じ Mullvad サーバーの場合(実際のレスポンスを一部省略):

スコアの有用性は、その説明可能性で決まります。理由もわからず上下するブラックボックスの数値は、調整することも、チャージバック紛争で擁護することも、バイアスを監査することもできません。detection_methods 配列は、スコアに寄与した証拠を列挙します(ここでは、IP がプロバイダーのサーバーリストに載っていること、そのリストが WireGuard サーバーとしてタグ付けしていること、ホスティングインフラ上にあること)。recommended_action はスコアを帯域に対応付けます。25 以下が allow、50 以下が review、75 以下が step_up、75 超が block です。そのため、スコアによって正当な顧客がブロックされた場合でも、どのシグナルが原因かを特定して、しきい値や重みを調整できます。

完全な IP インテリジェンスのレスポンスはどのようなものか

すべてのレイヤーを1 回のルックアップにまとめると次のようになります:

実際のレスポンスを一部省略したものです(ルックアップ実施は 2026 年 10 月 2 日。完全なレスポンスには ip、asn、geo、whois、network、detection、threat、dns、scoring、meta の 10 グループが含まれます):

この IP は Cloudflare のインフラで、トロントにジオロケーションされています。人ではなく、悪意もなく、何も隠していません。不正スコアの 15 は、データセンターという文脈(およびデータセンターの IP 空間に典型的な逆引き DNS の欠如)を反映したもので、匿名化や不正利用の証拠はないため、allow の帯域に収まります。適切な対応はユースケースによって異なります。消費者向けのチェックアウトフローであれば、セッションログに記録しておく程度が妥当です。B2B の API クライアントであれば、まさに想定どおりの接続です。このようなルックアップを自社のサインアップやチェックアウトのフローに組み込むには、無料 API でアプリに IP 不正検出を追加するチュートリアルに従ってください。

ユースケース別に重要なレイヤー

チームや業界を越えた IP インテリジェンス

チームによって使うレイヤーは異なり、同じシグナルでもビジネスによって意味が変わります。だからこそ「IP インテリジェンス」は、不正対策プラットフォーム、セキュリティツール、アナリティクスのいずれの検索にも登場します。1 つのデータセットが複数の仕事を担っているのです:

• 不正・リスクチームは、匿名化、脅威履歴、リスクスコアを頼りに、チェックアウト、ログイン、サインアップの結果をリアルタイムで判断します。
• セキュリティチームは、インフラと脅威のレイヤーで受信トラフィックを選別し、スキャンを見つけ、SIEM のアラートに ASN とホスティングの文脈を付与します。これらのシグナルが特定のサイバー犯罪パターンにどう対抗するかは別の記事で扱っています。
• トラストとセーフティのチームは、匿名化のフラグと行動を組み合わせて、BAN 回避、偽アカウント、組織的な不正利用を捕捉します。
• グロースとマーケティングは、ローカライズ、無効なトラフィックの除外、より正確なアナリティクスのために、ジオロケーションと ASN を使います。
• コンプライアンスは、地域制限、制裁スクリーニング、管轄の判定に、国と匿名化のデータを使います。

業界によって変わるのは、データそのものよりも、そこにかかる比重です。フィンテックや銀行は、アカウント乗っ取りの試みが VPN やプロキシの背後に隠れるため、匿名化とリスクを最も重視します。ゲームは、BAN 回避とライセンス対象地域を気にします。EC やマーケットプレイスは、決済詐欺や偽の出品者と戦います。SaaS は、ログインのリスクと API の不正利用を評価します。ストリーミングは、VPN による回避に対して、地域ごとのライセンスを守らせます。6 つのレイヤーを、それぞれ異なる重みで使うのです。だからこそ、単一のフィールドよりも IP インテリジェンスプラットフォームのほうが役に立ち、選ぶ前にIP データプロバイダーが実際にどのレイヤーをカバーしているかを確認する価値があります。各リスクスコアの背後にある理由の名前も参照してください。

ジオロケーションが残すギャップ

違いを具体的に示します。モスクワのユーザーが 185.213.155.73 の Mullvad サーバー経由で接続した場合、ジオロケーションのルックアップはドイツのフランクフルト・アム・マインを返します。GeoIPHub の完全なルックアップも同じ geo.country_code: DE を返しますが、加えて detection.is_vpn: true、scoring.fraud_score: 100、そして known_vpn_server と wireguard_open の detection_methods を返します。位置情報は同じです。インテリジェンスは同じではありません。

地域制限の場面(たとえばドイツでの配信権を持つストリーミングサービス)では、ジオロケーションだけならリクエストを承認してしまいます。IP インテリジェンスは、その位置情報が信頼できないことを知らせます。ブロックするか許可するかはプロダクトの判断ですが、インテリジェンスのレイヤーがなければ、その判断を意識的に下すことすらできません。

これが IP ジオロケーションと IP インテリジェンスの実務上の境界です。ジオロケーションは、そのアドレスが何を主張しているかを教えてくれます。インテリジェンスは、それをどこまで信じるべきかを教えてくれます。

よくある質問

IP インテリジェンスとは何ですか?

IP インテリジェンスとは、IP アドレスから導き出せるデータ全体を指します。国や都市だけでなく、その IP を所有する自律システム、住宅向けかデータセンター向けのインフラか、VPN・プロキシ・Tor リレーとして動作しているか、不正利用の履歴、脅威の分類、そしてそれらすべてを総合したリスクスコアが含まれます。この用語は、位置情報の項目だけを返す基本的なジオロケーションと、包括的な IP 分析を区別するために使われます。

IP ジオロケーションと IP インテリジェンスの違いは何ですか?

IP ジオロケーションが答えるのは「この IP はどこにあるのか」です。国、地域、都市、座標、タイムゾーン、ISP 名がそれにあたります。IP インテリジェンスが答えるのは「この IP は何で、どれだけ信頼できるのか」です。インフラの種類(データセンター、住宅、モバイル)、匿名化の検出(VPN、プロキシ、Tor)、脅威の分類(スキャナー、ボットネット、スパム送信元)、不正利用の履歴、そして総合的なリスクスコアが加わります。ジオロケーションは IP インテリジェンスの中の一つのレイヤーです。

ジオロケーションではわからないことで、IP インテリジェンスが教えてくれるのはどのようなことですか?

IP が実際の位置を隠す VPN やプロキシかどうか(その場合、ジオロケーションの項目は意味を持ちません)、実際のユーザーがいないデータセンターの IP かどうか、最近不正利用のブロックリストに載ったかどうか、プロキシやスキャナーのサービスを実際に稼働させているかどうか、そしてこの IP からのリクエストがどの程度危険かを示す確率の推定値です。基本的なジオロケーションは座標を返しますが、IP インテリジェンスはその座標を信頼してよいかどうかを教えてくれます。

IP インテリジェンスは実務ではどのように使われますか?

不正対策チームは、チェックアウト、ログイン、サインアップでのリスク評価に使います。セキュリティチームは、受信トラフィックの選別や、スキャンや自動化された不正利用の特定に使います。広告プラットフォームは、キャンペーンに課金される前に無効なトラフィックを除外するために使います。コンプライアンスチームは、地域制限の適用や管轄の判定に使います。コンテンツプラットフォームは、地域ごとのライセンス管理やペイウォールの判断に使います。ユースケースによって、重視すべきインテリジェンスのレイヤーは変わります。

IP インテリジェンスはモバイルユーザーに対しても正確ですか?

部分的には正確です。モバイルユーザーはキャリアグレード NAT (CGNAT) を通じて IP を共有するため、ジオロケーションは国と地域のレベルでは通常正しいものの、都市レベルでは不正確です。インフラの分類(モバイルキャリアかデータセンターか)は信頼できます。匿名化の検出も信頼できます。VPN を使うモバイルユーザーは、ネイティブのモバイル接続とは大きく異なって見えるためです。CGNAT では IP 単位で責任を特定しにくくなるので、モバイルのリスクスコアリングは住宅 IP とは別に調整すべきです。