Vous bloquez un /32 et l’attaquant rotate vers l’adresse suivante du même /24. Vous bloquez le /24 et il saute à un préfixe voisin chez le même hébergeur. Vous finissez par comprendre que vous ne combattez pas une IP — vous combattez tout un système autonome que quelqu’un utilise comme infrastructure jetable et bon marché. L’outil ASN Lookup de PortJar permet de voir l’AS comme un tout : qui l’opère, où il se trouve, et tous les préfixes qu’il annonce en ce moment.
Ce que fait l’outil
Pour une adresse IP, il retourne le numéro d’AS qui origine le préfixe contenant cette adresse. Pour un numéro d’AS, il retourne le détenteur enregistré, le pays d’enregistrement, et la liste complète des préfixes IPv4 et IPv6 que cet AS annonce actuellement — tirée de RIPE Stat, qui miroirise la table de routage BGP mondiale. C’est ce second mode que la plupart des opérateurs sous-utilisent. C’est la différence entre savoir « cette adresse appartient à l’AS-foo » et savoir « AS-foo annonce ces 47 préfixes, totalisant environ 1,2 million d’adresses IPv4, dont le /24 fautif fait partie ».
Comment l’utiliser
Ouvrez portjar.com/tools/asn-lookup. Entrez soit une adresse IPv4, soit une adresse IPv6, soit un numéro d’AS (avec ou sans préfixe AS — AS14061 et 14061 fonctionnent tous deux). La réponse montre le détenteur, le pays et la liste de préfixes. Pour une IP, enchaînez en entrant le numéro d’AS retourné directement pour voir son empreinte complète.
Quand l’utiliser
- Décider s’il faut faire passer un blocage de l’IP au préfixe à l’AS entier. Quand la troisième adresse du même fournisseur atterrit dans votre liste fail2ban cette semaine, ASN Lookup donne la liste des préfixes. Bloquer l’AS est un gros marteau mais parfois le bon — pour un hébergeur qui héberge systématiquement du mauvais trafic et ne sert aucun de vos clients légitimes, c’est défendable.
- Vérifier ce qu’un CDN ou un infonuagique annonce vraiment. Cloudflare, Fastly, AWS CloudFront et réseaux similaires publient des plages d’IP, mais la liste publiée est parfois périmée. Un ASN Lookup contre le numéro d’AS du fournisseur donne la liste de préfixes courante faisant autorité, soit ce que votre pare-feu devrait autoriser.
- Comprendre pourquoi le site d’un seul client a une latence variable selon les FAI. Tirer les préfixes annoncés par l’AS de transit du client et les comparer à la sortie de traceroute explique des asymétries de routage que les métriques au niveau page ne montrent pas.
- Travailler une question de peering ou de BGP. Quand quelqu’un demande « est-ce que l’AS X a un chemin vers l’AS Y ? », la liste de préfixes est la première donnée : si les préfixes se recoupent ou sont adjacents, les décisions de peering deviennent beaucoup plus intéressantes.
- Bâtir un rapport d’incident crédible. Un rapport qui dit « l’attaque venait de l’AS14061 (DigitalOcean), originaire de la plage /24 167.99.x.x » porte un poids que « l’attaque venait de 167.99.123.45 » n’a pas.
Quoi faire du résultat
Le nom du détenteur est le LIR enregistré (registre internet local) — d’ordinaire l’entreprise qui a acheté le numéro d’AS. Le pays reflète l’enregistrement, pas l’emplacement de l’équipement ; un LIR aux îles Caïmans peut exploiter des serveurs à Francfort. La liste de préfixes reflète l’état BGP courant au moment de la requête ; pour des réseaux stables elle change chaque jour, pour des réseaux très mobiles (infonuagiques qui ouvrent et ferment des régions) elle peut bouger d’heure en heure. Traitez les listes de préfixes IPv4 et IPv6 séparément — beaucoup de réseaux annoncent une empreinte IPv4 substantielle mais seulement une IPv6 symbolique, ou l’inverse, et confondre les deux mène à des listes d’autorisations qui marchent pour la moitié de vos clients. Quand la liste de préfixes est vide ou très courte, l’AS peut avoir été désenregistré, ne pas annoncer actuellement, ou n’exister que pour des relations de peering en aval — aucune de ces situations n’est une raison d’ignorer du trafic prétendant venir de lui.
Pour les équipes qui ont besoin du contexte ASN dans leur quotidien — relié aux alertes, au traitement des abus et à la supervision consciente du BGP — Stack Harbor intègre cela dans les environnements infogérés.