IP 평판 점수 하나를 받았을 때 그 숫자가 어디서 왔고 무엇을 모르는지 설명할 수 있게 만드는 시리즈입니다. 솔루션 편의 "예상 구조"는 공식 아키텍처가 아니라 글쓴이가 공개 자료로 추정한 그림이고, 글과 그림에 노란 추정 표시로 구분했습니다.
1부 원리: IP 평판은 무엇으로 만들어지나
- 소개: IP 평판 점수는 판정이 아니라 재료다 — 같은 IP를 네 서비스에 물으면 네 가지 대답이 나옵니다.
- IP 하나에서 알 수 있는 것: RIR·WHOIS·ASN·역방향 DNS·위치 — 모든 IP 평판 서비스는 공짜 공개 정보 위에 서 있습니다.
- 평판 데이터는 어디서 오나: 수집 방식 여섯 가지와 공통 구조 — 평판 점수의 정확도와 맹점은 데이터를 모으는 자리가 거의 다 정합니다.
- 점수는 어떻게 만들어지고, 왜 틀리나: 감쇠·가중치·공유 IP — 같은 신고 기록도 반감기와 신고자 가중치, 중복 제거를 어떻게 두느냐에 따라 6점이 되기도, 93점이 되기도 합니다.
2부 솔루션 해부
- MaxMind: 위치·익명성 DB와 minFraud — MaxMind는 IP 평판을 '파일'로 나눠 주는 드문 회사입니다.
- AbuseIPDB: 커뮤니티 신고로 만든 평판 — AbuseIPDB의 점수는 '서로 다른 신고자 수'와 '신고의 나이'로 만들어집니다.
- IPQualityScore: 사기 점수와 프록시·봇 판별 — IPQS의 fraud_score는 IP만 보고 매기는 점수가 아닙니다.
- VirusTotal: 여러 엔진의 판정을 모으는 곳 — VirusTotal은 스스로 판정하지 않습니다.
- Cisco Talos: 자기 장비가 본 세계로 만든 평판 — Talos 평판 센터의 이메일 평판은 메일 서버 IP를, 웹 평판은 도메인과 딸린 IP 전체를 기준으로 매깁니다.
- Criminal IP: 국산 CTI와 공격 표면 관리 — Criminal IP는 IP 점수를 들어오는 쪽(inbound)과 나가는 쪽(outbound)으로 나누고, 다섯 단계 점수 옆에 포트·취약점·허니팟·IDS 기록 같은 근거 목록을 붙여 줍니다.
3부 이메일 평판
- 이메일 발송 IP 평판: 무엇을 보고 점수를 매기나 — 메일함 제공자는 발송량·스팸 신고·반송·인증·반응·차단 목록·스팸 트랩으로 발송 IP를 판단합니다.
- DMARC 집계 보고서로 내 발송 IP 지켜보기 — 메일을 받는 쪽은 하루에 한 번쯤 '당신 도메인 이름으로 이런 IP들이 보냈고 결과는 이랬다'는 XML 보고서를 보내 줍니다.
4부 도입과 운영
- 도입 체크리스트: 고를 때 물어야 할 여덟 가지 — IP 평판 솔루션을 고를 때 갱신 주기·오탐·제공 형태만 보면 절반입니다.
- 연동 아키텍처: 여러 소스를 하나의 판단으로 — 점수 척도가 모두 다른 평판 소스 여섯 개를 하나의 등급과 이유 목록으로 합치는 '평판 모으기' 서비스를 FastAPI로 만듭니다.
- 점수를 정책으로: 막지 말고 마찰을 더하라 — IP 평판 등급을 그대로 차단에 쓰면 CGNAT·VPN 뒤의 정상 사용자가 먼저 막힙니다.
- 정리: 비교표와 고르는 법 — 시리즈 마지막 편입니다.
실습 재료
모든 실습은 시리즈 저장소의 lab/ 폴더에 있습니다. 서버는 127.0.0.1에만 묶고, IP는 문서용 대역과 공개 시험 데이터만 씁니다. 키가 필요한 외부 API는 부르지 않았습니다.
고인물 개발자(OG)