IP 인텔리전스

IP 인텔리전스란 무엇인가? 기본 지리적 위치 정보를 넘어서

IP 인텔리전스는 IP가 드러내는 모든 정보입니다. 지리적 위치, ASN, 인프라, 익명화, 위협 이력, 그리고 설명 가능한 위험 점수까지 포함합니다.

작성자GeoIPHub 팀게시일2026년 6월 26일업데이트2026년 7월 14일읽는 시간23분 분량

한눈에 보기

IP 인텔리전스는 IP 주소에서 얻을 수 있는 모든 데이터의 집합입니다. 지리적 위치, 자율 시스템, 인프라 유형, 익명화 여부, 위협 이력, 프로토콜 지문, 그리고 종합 위험 점수가 여기에 포함됩니다. 지리적 위치는 IP가 어디에 있는지 알려 줍니다. IP 인텔리전스는 그 IP가 무엇인지, 네트워크를 누가 소유하는지, 무언가를 숨기고 있는지, 무엇을 해 왔는지, 그리고 그 IP에서 온 요청을 얼마나 신뢰해야 하는지를 알려 줍니다. 이 구분이 중요한 이유는 지리적 위치만으로는 완전히 오해할 수 있기 때문입니다. 베를린의 VPN 사용자가 프랑크푸르트 서버를 거쳐 접속하면, 좌표 너머를 들여다보지 않는 한 프랑크푸르트 사용자로 보입니다.

대부분의 IP 조회 도구는 위치를 반환합니다. 현대적인 IP 인텔리전스는 신상 자료철을 반환합니다. 이 글에서는 전체 데이터 영역을 분석합니다. 각 계층에 무엇이 들어 있는지, 어디에서 오는지, 어떤 결정을 뒷받침하는지 살펴봅니다. 개별 필드와 그 타입은 IP 데이터 필드 전체 레퍼런스에서 확인할 수 있습니다.

하나의 주소, 열 가지 그룹의 답.

1계층: 지리적 위치

기초가 되는 계층입니다. 모든 IP 주소는 한 국가에 등록되고, 특정 지역에서 라우팅 광고(announce)되며, 보통 특정 도시에서 사용되는 네트워크에 속합니다. 지리적 위치 데이터는 레지스트리 기록(RIPE, ARIN, APNIC, LACNIC, AFRINIC), 네트워크 토폴로지 분석, 능동 측정을 조합해 IP 대역을 물리적 위치에 매핑합니다.

다음은 Telegram의 91.108.56.1에 대한 실제 GeoIPHub 응답의 geo 그룹으로, 지리적 위치 조회가 반환하는 내용입니다(일부만 발췌, 2026년 10월 2일에 실행한 조회).

GeoIPHub API

{
  "ip": "91.108.56.1",
  "geo": {
    "country_code": "SG",
    "country_name": "Singapore",
    "region": "Singapore",
    "city": "Singapore (Novena)",
    "latitude": 1.3208600000000001,
    "longitude": 103.842,
    "timezone": "Asia/Singapore",
    "geo_confidence": 0.8
  }
}

정확도는 IP 유형에 따라 크게 달라집니다. 주거용 ISP의 IP는 보통 도시 수준까지 정확합니다. CDN 엣지 노드와 애니캐스트 IP(Cloudflare의 1.1.1.1 같은)는 사용자가 아니라 네트워크 인프라의 위치로 지리적 위치가 잡힙니다. 모바일 IP는 국가와 지역까지는 정확하지만 도시 수준에서는 덜 신뢰할 수 있습니다. VPN IP는 사용자의 실제 위치가 아니라 VPN 서버의 위치로 잡히며, 이것이 지리적 위치만으로 충분하지 않은 첫 번째 이유입니다.

2계층: ASN과 네트워크 소유자

모든 IP는 자율 시스템(AS)이 광고합니다. AS는 고유한 ASN을 가지고 일련의 IP 대역을 관리하는 네트워크입니다. ASN은 해당 IP가 속한 네트워크를 누가 운영하는지를 알려 주며, 얻을 수 있는 단일 데이터 중 가장 정보량이 많은 것 가운데 하나입니다. 다음은 Cloudflare의 1.1.1.1에 대한 asn 그룹입니다(실제 응답을 발췌).

GeoIPHub API

{
  "asn": {
    "asn": 13335,
    "org": "CLOUDFLARENET - Cloudflare, Inc.",
    "asn_type": "cdn",
    "user_type": "content_delivery_network",
    "connection_type": "datacenter"
  }
}

ASN 유형:

ISP / 주거용 (Comcast, Deutsche Telekom, Jio): 실제 사람에게서 오는 트래픽
모바일 통신사 (AT&T Mobility, Vodafone): CGNAT 뒤에 있는 휴대폰
데이터센터 / 클라우드 (AWS, Google Cloud, Azure, OVH): 서버 인프라
CDN (Cloudflare, Akamai, Fastly): 콘텐츠 전송 엣지 노드
호스팅 / 코로케이션: 대개 클라우드 규모가 아닌 임대 서버
VPN ASN: VPN 서버 운영 이력이 문서화된 자율 시스템

ASN 유형은 행동 증거를 고려하기 전의 사전 확률입니다. AS7922(Comcast)에서 온 요청은 거의 확실히 실제 사람의 요청입니다. AS16509(Amazon)에서 온 요청은 거의 확실히 서버나 자동화된 프로세스의 요청입니다. 이 데이터 하나가 그 연결에서 무엇을 기대하고 받아들여야 하는지를 바꿉니다.

3계층: 인프라 분류

인프라 분류는 ASN보다 한 단계 더 들어가, IP가 동작하는 네트워크 환경의 구체적인 유형을 식별합니다.

주거용: 소비자 ISP가 가정용 광대역 회선에 할당한 IP
모바일: 이동통신망의 휴대폰에 CGNAT를 통해 할당된 IP
데이터센터: 클라우드 제공업체, 전용 서버, 코로케이션 시설에서 실행 중인 IP
비즈니스: 기업의 사무실 인프라에 할당된 IP
CDN 엣지: 콘텐츠 전송 네트워크의 엣지 노드에서 트래픽이 나가는 IP
위성: 위성 ISP(Starlink, Viasat)가 할당한 IP

DigitalOcean 드롭릿(104.248.50.21)의 경우 분류 필드는 다음과 같습니다(실제 응답을 발췌).

GeoIPHub API

{
  "asn": { "asn_type": "hosting", "user_type": "hosting", "connection_type": "datacenter" },
  "detection": {
    "is_hosting": true,
    "is_mobile": false,
    "is_satellite": false,
    "is_anycast": false
  }
}

이 계층이 사기 방지와 접근 제어에서 중요한 이유는, 대부분의 소비자 제품에서 실제 사용자 대다수가 주거용 또는 모바일 IP로 접속하기 때문입니다. 소비자 제품에 접근하는 데이터센터 IP는 구조적으로 이례적입니다. 항상 악의적인 것은 아니지만(개발자, 자동화 파이프라인, 비즈니스 사용자도 정당하게 데이터센터에서 접속합니다), 위험 계산에서 가중치를 둘 만큼은 이례적입니다.

4계층: 익명화 탐지

익명화 탐지는 겉으로 보이는 IP가 사용자의 실제 IP인지, 사용자가 거쳐 가는 릴레이인지 판별합니다. 크게 세 가지 유형이 있습니다.

VPN (가상 사설망): 사용자의 트래픽이 VPN 서버를 통해 나갑니다. 지리적 위치에는 사용자의 실제 위치가 아니라 VPN 서버의 위치가 나타납니다. 탐지는 공개된 제공업체 서버 목록, 능동적인 프로토콜 프로빙(OpenVPN, IKEv2, PPTP, L2TP 핸드셰이크), ASN 이력을 활용합니다. NordVPN, ExpressVPN, Mullvad 같은 상용 VPN 제공업체는 공개된 인프라를 운영하므로 안정적으로 탐지할 수 있습니다.

프록시 (HTTP/SOCKS): 네트워크 계층이 아니라 애플리케이션 계층에서 트래픽을 중계합니다. SOCKS5와 HTTP 프록시는 특징적인 포트에서 각자의 인사(greeting) 시퀀스에 응답하므로, 포트 프로빙으로 탐지할 수 있습니다.

주거용 프록시: 가장 정교한 익명화 수단입니다. 트래픽이 실제 주거용 IP를 통해 나가며, 이 IP는 대개 악성코드에 감염된 기기에서 수집했거나 유료 P2P 프록시 네트워크에서 가져온 것입니다. IP 자체가 가정용 ISP에 속하므로 ASN 기반 탐지는 실패합니다. 탐지에는 행동 신호가 필요합니다. 프록시 네트워크 광고에 같은 IP가 등장하는지, 비정상적인 교체(churn) 패턴이 있는지, 단일 가구의 연결로는 설명되지 않는 User-Agent 다양성이 있는지를 봅니다.

Tor: Tor 익명화 네트워크는 암호화된 일련의 릴레이를 거쳐 트래픽을 전달한 뒤 Tor 출구 노드에서 내보냅니다. 출구 노드 IP는 Tor 컨센서스 디렉터리에 공개되므로 탐지가 안정적이고 완전합니다.

다음은 Mullvad의 공개 릴레이 목록에 있는 WireGuard 서버 185.213.155.73의 detection 그룹입니다(실제 응답을 발췌).

GeoIPHub API

{
  "detection": {
    "is_vpn": true,
    "is_proxy": false,
    "is_tor": false,
    "is_hosting": true,
    "is_anonymous": true,
    "anonymity_level": "medium",
    "vpn_confidence": 95
  }
}

5계층: 위협 인텔리전스

위협 인텔리전스는 악성 행위에 대한 외부 증거를 집계합니다. 네트워크 악용 신고 창구의 보고, 허니팟 수집 데이터, 봇넷 싱크홀 데이터, 스캔 활동 로그, 스팸 트랩 트리거가 여기에 해당합니다.

주요 신호(IP 평판 점수 산정의 원재료):

차단 목록 등재 여부: 이 IP를 포함하는 독립 차단 목록이 몇 개이며 어떤 범주인지
악용 신고: ISP와 악용 신고 창구에 접수된 민원의 규모와 최신성
봇넷 이력: 알려진 악성코드 명령 제어(C2) 인프라와의 연관성
스캐너 지문: 포트 스캔, 취약점 프로빙, 크리덴셜 스터핑의 증거

이 신호들은 threat 그룹에 담깁니다. 같은 Mullvad 서버의 경우 유일한 위협 범주는 익명화 도구 그 자체입니다(실제 응답을 발췌).

GeoIPHub API

{
  "threat": {
    "is_abusive": false,
    "is_spammer": false,
    "is_scanner": false,
    "is_botnet": false,
    "is_cgnat": false,
    "threat_types": ["vpn"]
  }
}

위협 인텔리전스는 본질적으로 시간에 민감합니다. IP 주인이 바뀌면 차단 목록 항목은 만료되고, 석 달 전의 악용 신고는 약한 증거이며, 어제의 스캐너 활동은 강한 증거입니다. 효과적인 위협 인텔리전스는 월 단위 배치로 갱신하는 것이 아니라 지속적으로 갱신됩니다. 위치 및 인프라 데이터와 결합되면, 이 피드는 엣지 차단, 불가능한 이동 검사, 지역 제한이 근거로 삼는 자료가 됩니다.

6계층: 위험 점수

위의 모든 정보는 하나의 0-100 점수인 scoring.fraud_score로 압축됩니다. 이 숫자를 기준으로 결정을 분기합니다. 같은 Mullvad 서버의 경우입니다(실제 응답을 발췌).

GeoIPHub API

{
  "scoring": {
    "fraud_score": 100,
    "confidence": 0.7075,
    "recommended_action": "block",
    "detection_methods": [
      "known_vpn_server",
      "wireguard_open",
      "datacenter_with_vpn_proxy",
      "no_ptr_datacenter"
    ]
  }
}

점수는 설명 가능한 만큼만 유용합니다. 이유 없이 오르내리는 블랙박스 숫자는 조정할 수 없고, 지급 거절(차지백) 분쟁에서 방어할 수 없으며, 편향 여부를 감사할 수도 없습니다. detection_methods 배열은 점수에 기여한 증거를 명시합니다(여기서는 IP가 제공업체의 서버 목록에 있고, 그 목록이 WireGuard 서버로 태그했으며, 호스팅 인프라 위에 있다는 것). recommended_action은 점수를 구간에 매핑합니다. 25까지는 allow, 50까지는 review, 75까지는 step_up, 75를 넘으면 block입니다. 따라서 점수가 정당한 고객을 차단했을 때 어떤 신호가 그 결과를 만들었는지 확인하고 임곗값이나 가중치를 조정할 수 있습니다.

전체 IP 인텔리전스 응답은 어떤 모습인가

모든 계층을 한 번의 조회로 합쳐 보겠습니다.

GeoIPHub API

curl "https://api.geoiphub.com/v1/lookup/103.21.244.0" \
  -H "x-api-key: YOUR_API_KEY"

실제 응답을 발췌한 결과입니다(2026년 10월 2일에 실행한 조회이며, 전체 응답은 ip, asn, geo, whois, network, detection, threat, dns, scoring, meta의 10개 그룹으로 구성됩니다).

GeoIPHub API

{
  "ip": "103.21.244.0",
  "asn": {
    "asn": 13335,
    "org": "CLOUDFLARENET - Cloudflare, Inc.",
    "asn_type": "hosting",
    "connection_type": "datacenter"
  },
  "geo": {
    "country_code": "CA",
    "region": "Ontario",
    "city": "Toronto",
    "latitude": 43.6532,
    "longitude": -79.3832,
    "timezone": "America/Toronto"
  },
  "whois": {
    "org": "Cloudflare, inc.",
    "netname": "CLOUDFLARE_103_21_244_0"
  },
  "detection": {
    "is_hosting": true,
    "is_mobile": false,
    "is_vpn": false,
    "is_proxy": false,
    "is_tor": false
  },
  "threat": {
    "is_abusive": false,
    "threat_types": []
  },
  "scoring": {
    "fraud_score": 15,
    "confidence": 0.25,
    "recommended_action": "allow",
    "detection_methods": ["datacenter_ip", "no_ptr_datacenter"]
  }
}

이 IP는 토론토로 지리적 위치가 잡힌 Cloudflare 인프라입니다. 사람도 아니고, 악의적이지도 않으며, 무언가를 숨기고 있지도 않습니다. 위험 점수 15는 익명화 도구나 악용 증거 없이 데이터센터 환경(그리고 데이터센터 대역에 흔한 역방향 DNS 부재)만을 반영하므로 allow 구간에 들어갑니다. 올바른 조치는 사용 사례에 따라 달라집니다. 소비자 결제 흐름이라면 세션 로그에 메모를 남길 만하고, B2B API 클라이언트라면 바로 예상되는 모습입니다. 이와 같은 조회를 직접 만든 가입이나 결제 흐름에 연결하려면 무료 API로 앱에 IP 사기 탐지를 추가하는 방법 안내를 따라 해 보십시오.

사용 사례별로 중요한 계층

사용 사례	주요 계층	비고
결제 단계의 사기 방지	익명화, 위험 점수, 위협 인텔리전스	익명화 도구 + 악용 이력이 있으면 차단/추가 인증
로그인 위험 점수 산정	익명화, 인프라, 위험 점수	로그인 시 데이터센터 + VPN은 위험도 상승
지역 제한 / 컴플라이언스	지리적 위치, 익명화	VPN 탐지로 지역 우회를 방지
광고 사기 / IVT 필터링	인프라, 봇 지문	데이터센터 + 봇 = 무효 트래픽
콘텐츠 현지화	지리적 위치, ASN	국가 + ISP가 언어/CDN 결정을 좌우
API 악용 방지	인프라, 위협 인텔리전스, 요청 빈도 신호	차단 목록에 오른 데이터센터 IP는 속도 제한 대상
보안 트래픽 선별	모든 계층	사고 조사를 위한 전체 그림

팀과 산업별 IP 인텔리전스

팀마다 찾는 계층이 다르고, 같은 신호도 사업에 따라 의미가 달라집니다. 그래서 "IP 인텔리전스"가 사기 방지 플랫폼, 보안 도구, 분석 도구를 찾는 검색에 모두 등장합니다. 하나의 데이터셋이 여러 역할을 수행하는 셈입니다.

사기 및 위험 관리 팀은 익명화, 위협 이력, 위험 점수를 근거로 결제, 로그인, 가입 결과를 실시간으로 결정합니다.
보안 팀은 인프라와 위협 계층으로 유입 트래픽을 선별하고, 스캔을 포착하며, SIEM 경보에 ASN과 호스팅 맥락을 덧붙입니다. 이러한 신호가 특정 사이버 범죄 패턴에 어떻게 대응하는지는 별도로 다룹니다.
신뢰 및 안전(Trust & Safety) 팀은 익명화 플래그와 행동을 결합해 차단 회피, 가짜 계정, 조직적 악용을 잡아냅니다.
그로스 및 마케팅 팀은 지리적 위치와 ASN을 현지화, 무효 트래픽 필터링, 더 깨끗한 분석에 활용합니다.
컴플라이언스 팀은 국가 및 익명화 데이터를 지역 제한, 제재 대상 스크리닝, 관할권 판별에 사용합니다.

데이터보다는 산업이 위험의 크기를 바꿉니다. 핀테크와 은행은 계정 탈취 시도가 VPN이나 프록시 뒤에 숨기 때문에 익명화와 위험에 가장 큰 가중치를 둡니다. 게임은 차단 회피와 라이선스 지역을 중시합니다. 전자상거래와 마켓플레이스는 결제 사기와 가짜 판매자에 맞서 싸웁니다. SaaS는 로그인 위험과 API 악용을 점수화합니다. 스트리밍은 VPN 우회에 맞서 지역 라이선스를 집행합니다. 여섯 개의 계층이 서로 다른 가중치로 쓰이는 것입니다. 그래서 IP 인텔리전스 플랫폼이 어떤 단일 필드보다 유용하며, 하나를 고르기 전에 IP 데이터 제공업체가 실제로 어떤 계층을 다루는지 확인할 가치가 있습니다. 각 위험 점수 뒤에 있는 명명된 이유도 참고하십시오.

지리적 위치가 남기는 공백

차이를 구체적으로 보여 드리겠습니다. 모스크바의 사용자가 185.213.155.73의 Mullvad 서버를 통해 접속하면, 지리적 위치 조회는 독일 프랑크푸르트 암 마인을 반환합니다. 전체 GeoIPHub 조회도 같은 geo.country_code: DE를 반환하지만, 여기에 detection.is_vpn: true, scoring.fraud_score: 100, 그리고 known_vpn_server와 wireguard_open이 담긴 detection_methods가 더해집니다. 위치 데이터는 같습니다. 인텔리전스는 같지 않습니다.

지역 제한 상황(예를 들어 독일 권리를 가진 스트리밍 서비스)에서는 지리적 위치만으로는 요청을 승인합니다. IP 인텔리전스는 그 위치를 신뢰할 수 없다고 표시합니다. 차단할지 허용할지는 제품이 내릴 결정이지만, 인텔리전스 계층이 없으면 그 결정을 의식적으로 내릴 수조차 없습니다.

이것이 IP 지리적 위치와 IP 인텔리전스 사이의 실질적인 경계입니다. 지리적 위치는 주소가 주장하는 바를 알려 줍니다. 인텔리전스는 그 주장을 얼마나 믿어야 하는지 알려 줍니다.

IP 평판이란? 완전한 기술 가이드 VPN 및 프록시 탐지는 실제로 어떻게 작동하는가 위험 점수 사유: detection_methods 필드를 하나씩 읽는 법

자주 묻는 질문

IP 인텔리전스란 무엇인가요?

IP 인텔리전스는 IP 주소에서 얻을 수 있는 모든 데이터의 집합입니다. 국가와 도시뿐 아니라 해당 IP를 소유한 자율 시스템, 주거용 인프라인지 데이터센터 인프라인지, VPN, 프록시, Tor 릴레이를 운영 중인지, 악용 이력, 위협 분류, 그리고 이 모든 것을 종합한 위험 점수까지 포함합니다. 이 용어는 위치 필드만 반환하는 기본 지리적 위치 조회와 포괄적인 IP 분석을 구분하기 위해 사용합니다.

IP 지리적 위치와 IP 인텔리전스는 어떻게 다른가요?

IP 지리적 위치는 이 IP가 어디에 있는가라는 질문에 답합니다. 국가, 지역, 도시, 좌표, 시간대, ISP 이름이 여기에 해당합니다. IP 인텔리전스는 이 IP가 무엇이며 얼마나 신뢰할 수 있는가라는 질문에 답합니다. 인프라 유형(데이터센터, 주거용, 모바일), 익명화 탐지(VPN, 프록시, Tor), 위협 분류(스캐너, 봇넷, 스팸 발송원), 악용 이력, 종합 위험 점수가 추가됩니다. 지리적 위치는 IP 인텔리전스 안의 한 계층입니다.

IP 인텔리전스는 지리적 위치로는 알 수 없는 무엇을 알려 주나요?

해당 IP가 실제 위치를 숨기는 VPN이나 프록시인지(이 경우 지리적 위치 필드는 의미가 없어집니다), 뒤에 실제 사용자가 없는 데이터센터 IP인지, 최근 악용 차단 목록에 올랐는지, 현재 프록시나 스캐너 서비스를 운영 중인지, 그리고 이 IP에서 온 요청이 얼마나 위험한지에 대한 확률 추정치를 알려 줍니다. 기본 지리적 위치 조회는 좌표를 반환하지만, IP 인텔리전스는 그 좌표를 믿어도 되는지 알려 줍니다.

IP 인텔리전스는 실무에서 어떻게 사용되나요?

사기 방지 팀은 결제, 로그인, 가입 단계에서 위험을 점수화하는 데 사용합니다. 보안 팀은 유입 트래픽을 선별하고 스캔이나 자동화된 악용을 식별하는 데 사용합니다. 광고 플랫폼은 캠페인에 비용이 청구되기 전에 무효 트래픽을 걸러 내는 데 사용합니다. 컴플라이언스 팀은 지역 제한 집행과 관할권 판별에 사용합니다. 콘텐츠 플랫폼은 지역별 라이선스와 페이월 결정에 사용합니다. 어떤 인텔리전스 계층이 가장 중요한지는 사용 사례에 따라 달라집니다.

IP 인텔리전스는 모바일 사용자에게도 정확한가요?

부분적으로 그렇습니다. 모바일 사용자는 통신사 수준 NAT(CGNAT)를 통해 IP를 공유하므로, 지리적 위치는 대체로 국가와 지역 수준에서는 맞지만 도시 수준에서는 부정확합니다. 인프라 분류(모바일 통신사 대 데이터센터)는 신뢰할 수 있습니다. 익명화 탐지도 신뢰할 수 있습니다. VPN을 사용하는 모바일 사용자는 순수한 모바일 연결과 매우 다르게 보입니다. CGNAT 때문에 IP 하나에 책임을 묻기가 어려우므로, 모바일의 위험 점수는 주거용 IP와 다르게 보정해야 합니다.

작성자

GeoIPHub 팀

GeoIPHub API를 만드는 팀

GeoIPHub IP 인텔리전스 API와 스캐너를 만드는 GeoIPHub 팀이 작성했습니다. 초안은 AI의 도움을 받아 준비하고 팀이 편집합니다. API 예시는 예시용으로 표시된 경우를 제외하고 라이브 API에 대한 실제 조회 결과입니다.

LinkedIn에서 팔로우하세요

이 글 공유하기

더 많은 글

IP 인텔리전스란 무엇인가? 기본 지리적 위치 정보를 넘어서

1계층: 지리적 위치

2계층: ASN과 네트워크 소유자

3계층: 인프라 분류

4계층: 익명화 탐지

5계층: 위협 인텔리전스

6계층: 위험 점수

전체 IP 인텔리전스 응답은 어떤 모습인가

사용 사례별로 중요한 계층

팀과 산업별 IP 인텔리전스

지리적 위치가 남기는 공백

자주 묻는 질문

IP 인텔리전스란 무엇인가요?

IP 지리적 위치와 IP 인텔리전스는 어떻게 다른가요?

IP 인텔리전스는 지리적 위치로는 알 수 없는 무엇을 알려 주나요?

IP 인텔리전스는 실무에서 어떻게 사용되나요?

IP 인텔리전스는 모바일 사용자에게도 정확한가요?

관련 글

최고의 IP 데이터 서비스: IP 인텔리전스 API를 고르는 방법

꼭 알아야 할 IP 데이터 필드 전체 목록

IP 사기 탐지 API: Node와 Python으로 가입, 로그인, 결제 점수화하기