Como investigar um endereço IP: 3 IPs reais, 3 vereditos

Às 05:34 UTC de 19 de outubro de 2026, passamos três endereços pelo mesmo pipeline e obtivemos três vereditos diferentes. Uma saída da Mullvad VPN teve pontuação 100, block. Um endereço verificado do AhrefsBot teve pontuação 59, step_up, porque a Spamhaus o lista. Um servidor da DigitalOcean teve pontuação 12, allow. Onze dias antes, esse mesmo endereço do AhrefsBot tinha pontuação 23, allow.

A seguir estão as doze verificações em ordem, o campo a ler em cada uma, os limites com base nos quais agimos, onde denunciar abusos e o limite legal de qualquer investigação de IP.

Como investigar um endereço IP: três endereços, três vereditos

As mesmas doze perguntas levaram três endereços a três ações diferentes, e em cada caso um único sinal decidiu. Estas são consultas sem chave à nossa API, salvas nos horários indicados, com os valores sem edição:

Nossas faixas são allow até 25, review até 50, step_up até 75 e block acima de 75. A ordem das verificações é: roteável, dono, tipo de rede, hostname, anonimizador, rastreador ou scanner, listas de bloqueio, pontuação, decisão, denúncia, validade e o limite legal.

A linha do meio é a lição. Um rastreador verificado ainda pode estar em uma lista de bloqueio, e o desconto para rastreadores na nossa pontuação não o manteve em allow.

Antes de começar: mantenha-se passivo e registre onde o IP apareceu

Anote o contexto do alerta antes de consultar qualquer coisa: o horário com o fuso horário, a porta ou o caminho que ele acessou e o que ele fez, como sondagens em /wp-admin ou /.env ou uma rajada de logins com falha. Esse contexto decide o veredito tanto quanto qualquer consulta.

Mantenha-se passivo: use consultas, registros e sites de reputação, e nunca faça varredura de volta no endereço. Uma varredura de portas pode alertar quem opera o host, e varrer uma rede sem permissão pode violar a lei ou os termos do seu provedor.

Etapa 1: é um endereço público roteável?

Verifique se o endereço poderia sequer ter chegado até você pela internet. Leia threat.is_bogon e threat.is_cgnat. Um bogon é um endereço que nunca deveria aparecer na internet pública, como uma faixa privada ou reservada. Se um deles aparecer como origem na borda da sua rede com a internet, você está diante de tráfego interno, de um proxy mal configurado ou de um pacote falsificado, e o restante deste pipeline não se aplica.

Um endereço de carrier-grade NAT (CGNAT) é roteável, mas compartilhado. Um único endereço móvel ou de banda larga pode transportar centenas de assinantes ao mesmo tempo, então qualquer coisa que você decidir sobre ele recai sobre todos eles.

Nossos três endereços retornaram is_bogon false e is_cgnat false, então seguem adiante no pipeline.

Etapa 2: quem é o dono? ASN e RDAP

O dono vem de dois registros: o sistema autônomo (AS) que anuncia o endereço e o registro do bloco no registro regional. Leia asn.asn, asn.org e asn.rpki para a rota, depois whois.org, whois.netname, whois.registered e network.abuse_contact para o registro.

Repare no que os registros não dizem. Nada no registro do servidor da Mullvad diz "Mullvad": ele nomeia a 31173 Services, a empresa que opera a rede da Mullvad, e whois.has_vpn_keywords é false. O whois.org da DigitalOcean voltou como "none", então ali é o ASN que indica a propriedade. Veja o que um ASN diz sobre a rede se precisar do contexto.

Quando o registro armazenado é escasso, vá à fonte. Os dados de registro ficam nos cinco registros regionais de internet: ARIN, RIPE NCC, APNIC, LACNIC e AFRINIC. O arquivo de bootstrap RDAP da IANA diz qual deles detém uma faixa. O RDAP é o sucessor estruturado, em JSON, do WHOIS. Quando abrimos o registro RDAP da RIPE para 5.39.1.230 às 05:43 UTC, ele mostrava um bloco menor, 5.39.1.224/27, cuja organização registrante é a Ahrefs Pte Ltd. Nosso registro armazenado reflete o bloco de failover maior da OVH. O registro mais específico prevalece.

Etapa 3: que tipo de rede é?

O tipo de rede enquadra todos os sinais seguintes, então leia-o antes de qualquer dado de reputação. Os campos são asn.asn_type, asn.user_type, asn.connection_type, detection.is_hosting e detection.is_mobile.

Os três são endereços de hospedagem, e só um terminou em block. Hospedagem é contexto, não culpa: saídas de VPN, rastreadores e os seus próprios runners de CI vivem todos em datacenters. É por isso que um IP de hospedagem não é prova de fraude. O user_type search_engine_spider do AhrefsBot é a primeira pista de que o segundo endereço é um rastreador.

Etapa 4: o que diz o hostname? DNS reverso e FCrDNS

O DNS reverso retorna o hostname definido pelo dono do bloco, e o DNS reverso com confirmação direta (FCrDNS) verifica se esse hostname resolve de volta para o mesmo IP. Leia network.ptr_record e network.fcrdns_valid e depois faça a verificação você mesmo, porque um PTR armazenado pode estar atrasado em relação ao DNS ao vivo. Executamos estes comandos às 05:42 UTC de 19 de outubro de 2026:

O endereço do AhrefsBot passa no FCrDNS ao vivo, e a página do robô da Ahrefs diz que os hostnames do rastreador sempre terminam em ahrefs.com ou ahrefs.net. Nossa API, porém, não armazena PTR para ele, e é por isso que no_ptr_datacenter dispara para ele mais adiante. Confie na execução ao vivo, e não no campo armazenado.

O servidor da DigitalOcean mostra a outra falha. Nossa API armazena para ele um hostname que pertence a um terceiro sem relação, fcrdns_valid é false e o método fcrdns_mismatch dispara. Nosso próprio dig -x não retornou PTR nenhum, então o nome armazenado está desatualizado. Uma incompatibilidade como essa é um sinal fraco: foi um de apenas dois métodos que dispararam, e o endereço ainda teve pontuação 12.

Etapa 5: é uma VPN, um proxy, uma saída Tor ou um relay?

Esta etapa pergunta se alguém está se escondendo por trás do endereço. Leia detection.is_vpn, is_proxy, is_tor, is_relay, vpn_provider, relay_provider e last_seen.

O servidor da Mullvad é nomeado com vpn_confidence 95 porque está na lista de servidores que a Mullvad publica para os próprios aplicativos. É assim que um IP de VPN é associado ao seu provedor, e isso tem um limite: uma VPN fora das listas ainda pode ser pega por sondas, mas fica sem nome. Para o Tor, compare o endereço com a lista completa de saídas do Tor Project, ou leia nosso guia para detectar tráfego de saída Tor. Relays como o iCloud Private Relay não são VPNs: eles transportam usuários comuns de navegador, então nossa pontuação limita um endereço de relay a 60 e ele nunca pode chegar a block.

Etapa 6: é um rastreador verificado ou um scanner conhecido?

Um rastreador verificado é um endereço que está na lista de faixas publicada pelo seu operador, e um scanner é uma infraestrutura que sonda a internet inteira. Leia threat.crawler.verified, name, operator e verification_method, depois threat.is_scanner e threat_types.

O AhrefsBot correspondeu às faixas publicadas da Ahrefs, então a identidade do operador está resolvida. Qualquer coisa cujo User-Agent alegue ser o Googlebot merece o mesmo tratamento: verifique um IP que alega ser o Googlebot antes de confiar nele. O panorama mais amplo está em detecção de bots por endereço IP.

A quarta linha é um scanner da Censys em Ann Arbor, consultado às 05:34 UTC. Ele retornou is_scanner true, pontuação 0, allow e uma lista detection_methods vazia. A sinalização de scanner não altera nossa pontuação, então leia-a diretamente.

Etapa 7: está em listas de bloqueio, e desde quando?

Listas de bloqueio registram que foi visto abuso vindo de um endereço, e as datas delas importam mais do que a simples presença. Leia threat.is_abusive, is_spammer, is_botnet e dnsbl_sources.

Depois verifique as fontes externas, de forma passiva:

• Spamhaus. A ZEN combina as listas de bloqueio de IP gratuitas da Spamhaus, e a página dela aponta para o verificador de reputação de IP e domínio da Spamhaus para os detalhes da listagem.
• AbuseIPDB. O AbuseIPDB mostra denúncias de abuso enviadas por usuários. Leia a pontuação de confiança e as datas das denúncias mais recentes, não o total.
• VirusTotal. O VirusTotal mostra quantos fornecedores de segurança sinalizam o endereço e quaisquer arquivos ou URLs ligados a ele.
• Shodan e Censys. O Shodan e o Censys mostram o que as varreduras deles já encontraram rodando no host, para que você veja os serviços abertos sem tocar nele.

Recência vale mais do que presença. Uma listagem da semana passada importa, e um resultado limpo de seis meses atrás não diz quase nada sobre hoje.

Etapa 8: leia a pontuação e os métodos que dispararam

A pontuação é um consolidado datado de tudo o que veio acima, e scoring.detection_methods diz por que ela ficou onde ficou. Esta é a consulta do AhrefsBot, reduzida aos grupos que este playbook usa, com os valores sem edição:

Os métodos dos três endereços:

verified_crawler é um sinal atenuante que vale menos 28,5 na nossa pontuação (menos 30 com confiança de 0,95), e mesmo assim não foi suficiente para compensar dois métodos de lista de bloqueio e uma listagem de spam. Reputação é histórico, e a pontuação é um retrato instantâneo dele; veja como a reputação de IP é construída.

Etapa 9: decida se vai bloquear o IP, o prefixo ou o ASN

Associe a faixa de pontuação a uma ação e depois escolha até onde a ação se estende. Estes são os vereditos com base nos quais agiríamos:

O escopo importa tanto quanto a ação. Bloqueie um único endereço IPv4 para um caso isolado. Para IPv6, bloqueie um /64 IPv6 em vez de um único endereço, porque um cliente geralmente controla o /64 inteiro. Bloqueie um ASN inteiro apenas para redes de hospedagem de onde seus usuários reais nunca vêm, e nunca para uma operadora móvel ou uma faixa de CGNAT.

Prefira limites de taxa e desafios a banimentos definitivos: um banimento também atinge quem estiver com o endereço na semana seguinte. Automatizar banimentos a partir dos seus logs, por exemplo com o fail2ban, é um assunto à parte. Para saber qual sinal detém qual ataque, veja qual sinal de IP detém qual ataque.

Etapa 10: denuncie um IP abusivo ao contato de abuso da rede

Envie denúncias de abuso para o endereço em network.abuse_contact, que vem do registro no registro regional:

Envie evidências, não adjetivos: horários com o fuso horário, as linhas de log, o host e a porta de destino e o que o tráfego fez. Registre também no AbuseIPDB, para que outros defensores vejam.

Etapa 11: quanto tempo dura um veredito de IP?

Um veredito dura dias, não meses, e vimos um mudar. Em 8 de outubro de 2026, consultamos 5.39.1.230 para um post sobre web scraping. Ele retornou crawler.verified true, is_abusive true, pontuação 23 e allow, com os métodos abusive_listed, datacenter_blocklisted, no_ptr_datacenter e verified_crawler.

Às 05:34:32 UTC de 19 de outubro de 2026, o mesmo endereço retornou 59 e step_up. Mesmo rastreador, mesma faixa verificada, mesmo operador. O que mudou nos métodos foi known_spammer, que entrou na lista, e a consulta de hoje mostra is_spammer true com zen.spamhaus.org em dnsbl_sources. Não registramos esses dois campos em 8 de outubro, então sabemos que a listagem de spam é nova para a pontuação, mas não o dia em que a Spamhaus a adicionou. O desconto de rastreador verificado continuou sendo aplicado, e não foi suficiente. Onze dias fizeram o endereço atravessar duas faixas.

Nossos feeds de ameaças e arquivos de faixas de rastreadores são atualizados diariamente, então um veredito pode mudar de um dia para o outro. A regra: guarde a data junto com cada veredito e refaça a consulta antes de agir com base em um veredito mais antigo que o ciclo do seu feed. Uma sinalização não é um veredito, e um veredito expira.

Etapa 12: é possível encontrar a pessoa por trás de um endereço IP?

Não. Um endereço IP leva você a uma rede, não a uma pessoa: só o ISP ou o provedor de hospedagem consegue associar um endereço e um horário a um assinante, e ele libera essa informação mediante processo legal, como uma ordem judicial, não para você nem para nós.

Investigue endereços que tocaram os seus próprios sistemas, pare na rede e não tente desmascarar nem varrer ninguém. A geolocalização também é aproximada: nossas três consultas situaram os endereços em Frankfurt, Paris e North Bergen, o que localiza um datacenter no nível de cidade, nunca um endereço de rua.

Rode o mesmo pipeline no seu próximo alerta

Pegue o próximo endereço da sua fila de alertas e passe-o pela mesma consulta com o contexto do alerta ao lado. Para automatizar as doze verificações, comece pela documentação da API de consulta.

Consultas sem chave são limitadas a 30 por minuto, e o limite é rígido: a 30ª requisição dentro de um minuto já retorna um 429 e bloqueia o IP de quem chamou por duas horas. Use uma chave gratuita para scripts: ela dá 1.500 consultas por dia com todos os campos. Alimentar um SIEM com consultas em escala é o próximo passo para uma fila movimentada.

Perguntas frequentes

Como investigar um endereço IP suspeito?

Trabalhe de forma passiva e em ordem. Confirme que é um endereço público roteável, leia quem é o dono e que tipo de rede ele é, verifique o hostname e as sinalizações de anonimizador e de rastreador, leia as listagens em listas de bloqueio e suas datas, depois aja com base em uma pontuação e anote a data.

Como posso verificar se um endereço IP é malicioso?

Nenhuma verificação isolada prova isso. Procure listagens atuais, como a Spamhaus, denúncias recentes de abuso no AbuseIPDB e sinalizações de anonimizador, e depois pese tudo contra o que o endereço fez nos seus próprios sistemas. Uma sinalização significa que foi visto abuso vindo do endereço, não que esta requisição seja abuso.

É possível encontrar a pessoa por trás de um endereço IP?

Não por conta própria. Um IP leva a um operador de rede, e só esse operador consegue associar um endereço e um horário a um assinante, o que ele revela mediante processo legal, não a você. Em vez disso, denuncie o abuso ao contato de abuso da rede.

Devo bloquear o IP, o prefixo ou o ASN inteiro?

Bloqueie um único endereço IPv4 para um caso isolado, um /64 IPv6 em vez de um único endereço IPv6, e um ASN inteiro apenas para redes de hospedagem de onde seus usuários reais nunca vêm. Evite bloquear faixas móveis ou de CGNAT, porque um endereço pode transportar muitos usuários.

Um rastreador verificado é sempre seguro para permitir?

Não. O 5.39.1.230 do AhrefsBot correspondia às faixas publicadas da Ahrefs em 19 de outubro de 2026, mas também estava listado na Spamhaus ZEN e teve pontuação 59, step_up. A verificação diz quem opera o endereço, não que a faixa dele está limpa.

Por quanto tempo o resultado de uma investigação de IP continua válido?

Dias, não meses. O mesmo endereço do AhrefsBot teve pontuação 23, allow, em 8 de outubro de 2026 e 59, step_up, em 19 de outubro. Refaça a consulta antes de agir com base em um veredito antigo e guarde a data junto com cada veredito.