ASN (numéro de système autonome)
Un numéro de système autonome identifie un ensemble de plages d’adresses IP sous le contrôle d’une même organisation : fournisseur d’accès, hébergeur cloud ou entreprise. En renseignement, les ASN servent à repérer les hébergeurs fréquemment utilisés par les attaquants.
Un ASN est le numéro qu’un réseau porte dans la table de routage d’Internet. Toute adresse IP appartient à un préfixe, tout préfixe est annoncé par exactement un système autonome, et l’ASN nomme ce système : AS15169 est Google, AS16509 est Amazon, AS3215 est Orange. Le numéro dit qui opère le réseau où se trouve une adresse, pas qui l’utilise.
C’est pour cela qu’il compte en renseignement. Les abus se regroupent par opérateur. Une poignée de systèmes annoncent une part disproportionnée du phishing, de l’hébergement de malwares et du trafic de balayage, soit parce qu’ils vendent à n’importe qui, soit parce qu’ils sont conçus pour cela. Connaître l’ASN d’une adresse donne l’historique de l’opérateur avant de savoir quoi que ce soit de l’adresse.
Le numéro explique aussi des comportements contradictoires au niveau de l’adresse. La même IP peut être saine un mois et hostile le suivant quand un préfixe est réannoncé par un autre système ; un verdict d’IP sans son ASN manque donc le contexte qui décide si l’historique s’applique encore.
Exemple
Deux adresses présentent le même comportement de balayage. L’une appartient à l’ASN d’un fournisseur d’accès résidentiel, l’autre à un hébergeur au long passif d’abus. La seconde est bloquée au niveau du préfixe ; la première est surveillée, car bloquer un ASN résidentiel prive ses abonnés de service.
Dans isMalicious
Chaque recherche d’IP sur isMalicious affiche l’ASN et le nom de l’opérateur dans l’en-tête du rapport, et la page ASN sur /threat-intel/asn agrège la réputation des adresses qu’un système annonce, pour juger un opérateur avant l’une de ses adresses.
Questions fréquentes
Qu’est-ce que ASN (numéro de système autonome) ?
Un numéro de système autonome identifie un ensemble de plages d’adresses IP sous le contrôle d’une même organisation : fournisseur d’accès, hébergeur cloud ou entreprise. En renseignement, les ASN servent à repérer les hébergeurs fréquemment utilisés par les attaquants.
Quel est le lien entre ASN (numéro de système autonome) et Réputation d’IP ?
ASN (numéro de système autonome) et Réputation d’IP sont deux notions clés du renseignement sur les menaces. La réputation d’une IP est un score ou une classification indiquant si l’adresse a été associée à une activité malveillante. Elle tient compte de sa présence sur des blocklists, du volume de spam émis, de son historique de balayage de ports, de l’hébergement de C2 et des signalements d’abus.
Termes liés
Réputation d’IP
La réputation d’une IP est un score ou une classification indiquant si l’adresse a été associée à une activité malveillante. Elle tient compte de sa présence sur des blocklists, du volume de spam émis, de son historique de balayage de ports, de l’hébergement de C2 et des signalements d’abus.
Blocklist (liste de blocage)
Une blocklist est une liste d’IP, de domaines, d’URL ou d’empreintes reconnus comme malveillants. Pare-feu, résolveurs DNS et passerelles de messagerie s’en servent pour bloquer automatiquement le trafic des acteurs connus. Une blocklist doit rester à jour pour rester efficace.
Mettez ce renseignement au travail
Interrogez les indicateurs indexés — IP, domaines, URL et empreintes — en quelques secondes.