VPN 및 프록시 감지: 신호, 한계 및 정책 (KO)

VPN 및 프록시 감지는 사용자의 명확한 네트워크에서 직접 서비스에 도달하는 대신 중개자를 통해 서비스에 도달하는지 여부를 추정하는 과정입니다. 감지는 개인의 실제 위치를 확실하게 밝히지 않으며, 중개자가 사기의 증거는 아닙니다. 유용한 결과는 신원, 장치, 계정 및 행동 증거와 결합할 수 있는 위험 신호입니다.

가상 사설망, 포워드 프록시, Tor 출구, 클라우드 릴레이 및 통신사급 네트워크 주소 변환기는 모두 트래픽이 단일 최종 사용자의 액세스 연결이 아닌 다른 곳에서 시작된 것처럼 보이게 할 수 있습니다. 이들은 동일한 목적이나 위험을 가지고 있지 않습니다. 정확한 정책은 이들을 구별하는 것에서 시작됩니다.

주요 내용

• VPN과 프록시는 겹치지만 동일한 용어는 아닙니다. VPN은 게이트웨이를 통해 트래픽을 터널링하고, 프록시는 애플리케이션 또는 프로토콜에 대한 트래픽을 중계합니다.
• 단일 신호로는 결정적이지 않습니다. IP 평판, 네트워크 소유권, 라우팅, 브라우저 및 장치 일관성, 행동은 보완적인 증거를 제공합니다.
• 주거용 및 모바일 프록시는 분류하기 더 어렵습니다. 이들의 출구 IP는 일반적인 소비자 액세스 네트워크처럼 보일 수 있습니다.
• 감지는 시간에 민감한 분류 문제입니다. 출구 인프라와 IP 소유권은 변경되므로 최신 정보와 피드백 루프가 중요합니다.
• 감지된 모든 중개자를 차단하면 피할 수 없는 오탐이 발생합니다. 개인 정보 보호 도구, 기업 네트워크, 학교, 호텔, 이동통신사 및 보안 게이트웨이는 합법적인 용도를 가지고 있습니다.

VPN, 프록시, Tor 및 공유 네트워크

가상 사설망

VPN은 장치 또는 네트워크에서 VPN 게이트웨이까지 암호화된 터널을 생성합니다. 대상은 일반적으로 게이트웨이의 공용 IP 주소를 봅니다. 소비자 VPN은 종종 개인 정보 보호 또는 위치 선택에 사용되며, 기업 VPN은 직원을 조직 리소스에 연결하거나 보안 경계를 통해 트래픽을 라우팅합니다.

포워드 프록시

포워드 프록시는 클라이언트를 대신하여 대상에 요청을 보냅니다. 모든 장치 트래픽이 아닌 특정 애플리케이션 프로토콜을 처리할 수 있습니다. 프록시는 명시적, 투명, 인증, 공개, 비공개 또는 자동화 인프라에 내장될 수 있습니다.

주거용 또는 모바일 프록시

주거용 프록시는 소비자 인터넷 서비스와 관련된 IP 주소를 통해 나가는 반면, 모바일 프록시는 모바일 네트워크를 통해 나갑니다. 이러한 서비스는 잘 알려진 데이터 센터 프록시보다 일반 트래픽에 더 효과적으로 섞일 수 있습니다. IP 소유자는 개별 연결이 중계되는 경우에도 합법적으로 보일 수 있습니다.

Tor

Tor는 여러 릴레이를 통해 트래픽을 라우팅하고 출구 릴레이 정보를 게시합니다. 서비스는 전체 경로가 아닌 출구 노드를 봅니다. Tor는 합법적인 개인 정보 보호 및 안전 용도와 남용 가능성을 모두 가지고 있습니다.

리버스 프록시 및 콘텐츠 전송 네트워크

리버스 프록시는 주로 최종 사용자 앞에 서는 대신 서버 앞에 서 있습니다. 많은 웹사이트가 이러한 방식으로 콘텐츠 전송 네트워크와 보안 게이트웨이를 사용합니다. 그 뒤에 있는 애플리케이션은 명시적으로 신뢰하는 인프라가 추가한 헤더에서만 연결 클라이언트 IP를 복구해야 합니다.

통신사급 NAT 및 공유 액세스

이동통신사, 인터넷 제공업체, 사무실, 대학, 호텔 및 공용 Wi-Fi는 하나의 공용 IP 뒤에 많은 실제 사용자를 배치할 수 있습니다. 공유 IP 주소가 상업용 프록시를 의미하지는 않습니다.

네트워크 경로	서비스가 일반적으로 보는 것	일반적인 합법적 사용	감지 문제
소비자 VPN	VPN 게이트웨이 IP	개인 정보 보호, 여행, 신뢰할 수 없는 Wi-Fi	공급업체가 인프라를 교체함
기업 VPN	조직 또는 보안 게이트웨이	직원 액세스 및 검사	관리형 호스팅과 유사할 수 있음
데이터 센터 프록시	호스팅 제공업체 IP	테스트, 통합, 자동화	분류하기 쉽지만 의도는 다양함
주거용 프록시	소비자 ISP IP	개인 정보 보호 또는 원격 액세스	출구가 가정용 연결과 유사함
모바일 프록시 또는 CGNAT	이동통신사 IP	일반적인 모바일 액세스 또는 릴레이	많은 사용자가 합법적으로 주소를 공유함
Tor 출구	게시된 출구 IP	익명성 및 검열 저항	출구는 감지 가능; 사용자 의도는 아님
리버스 프록시	원본의 엣지 서비스 IP	전달 및 애플리케이션 보안	전달된 헤더에 대한 신뢰 경계

감지가 확률적인 이유

IP 주소는 특정 시점의 네트워크 엔드포인트를 식별합니다. 사람, 장치, 가구 또는 물리적 위치를 안정적으로 식별하지 않습니다. 주소는 재할당됩니다. 모바일 장치는 이동합니다. 조직은 트래픽을 중앙에서 라우팅합니다. 클라우드 제공업체는 많은 고객에게 범위를 임대합니다. 주거용 릴레이 네트워크는 일반 액세스 연결을 사용할 수 있습니다.

따라서 감지 시스템은 몇 가지 더 좁은 사실을 추정합니다.

• 누가 네트워크를 공표하거나 소유합니까?
• 주소가 호스팅, 액세스, 모바일, 교육 또는 기업 용도와 관련이 있습니까?
• 주소가 최근에 VPN, 프록시 또는 Tor 출구로 나타났습니까?
• 장치 및 브라우저 신호가 네트워크 관찰과 일치합니까?
• 연결이 한 사용자, 공유 게이트웨이 또는 자동화된 회전처럼 작동합니까?
• 계정 활동이 이전 기록 및 주장된 위치를 고려할 때 합리적입니까?

인프라가 변경됨에 따라 답변도 변경됩니다. 지난달에 올바랐던 목록이 오늘 틀릴 수 있으며, 새로 할당된 출구 주소는 아직 기록이 없을 수 있습니다.

VPN 및 프록시 감지에 사용되는 신호군

IP 및 네트워크 인텔리전스

네트워크 소유권 및 라우팅 데이터는 자율 시스템 번호, 공표된 접두사, 호스팅 제공업체, 소비자 ISP, 이동통신사 및 알려진 익명화 서비스를 식별할 수 있습니다. 관리된 관찰은 이전에 VPN 게이트웨이, 공개 프록시 또는 Tor 출구로 확인된 주소를 표시할 수 있습니다.

이러한 신호는 유용하지만 결정적인 것은 아닙니다. 호스팅 ASN은 합법적인 비즈니스 사용자를 서비스할 수 있으며, 주거용 ASN은 릴레이를 포함할 수 있습니다. 조직 및 연결 유형 레이블도 인수 또는 주소 전송 후 변경됩니다.

지리적 위치 및 일관성

국가, 지역, 시간대, 언어 및 예상 이동 속도를 일관성 측면에서 비교할 수 있습니다. 갑작스러운 국가 변경은 검토가 필요할 수 있지만, IP 지리적 위치는 대략적이며 때로는 틀립니다. 국경 지역, 위성 연결, 기업 라우팅 및 모바일 로밍은 유효한 불일치를 생성할 수 있습니다.

위치 불일치는 시스템이 숨겨진 '실제 IP'를 복구했다는 주장으로 표현되어서는 안 되며, 증거로 표현되어야 합니다.

포트 및 프로토콜 관찰

일부 공개적으로 접근 가능한 프록시 서비스는 인식 가능한 포트 또는 프로토콜 동작을 노출합니다. 이 증거는 직접 테스트 가능한 엔드포인트에 가장 강력하며 릴레이가 일반 암호화 웹 트래픽을 수락할 때 가장 약합니다. 능동적인 프로빙은 또한 법적, 윤리적, 지연 시간 및 운영상의 고려 사항을 야기하며 보편적인 기술로 취급되어서는 안 됩니다.

연결 및 전송 패턴

지연 시간, 라우팅 거리, 연결 재사용, 트래픽 타이밍 및 전송 지문은 관찰된 애플리케이션 컨텍스트가 네트워크 경로에 맞지 않음을 나타낼 수 있습니다. 이러한 기능은 브라우저, 운영 체제, 미들박스, 모바일 네트워크 및 보안 제품에 따라 변경될 수 있으므로 신중한 기준선이 필요합니다.

브라우저 및 장치 일관성

애플리케이션은 허용된 브라우저 및 장치 관찰을 네트워크 주장과 비교할 수 있습니다. 시간대, 로케일, 플랫폼, 렌더링 특성, 무결성 신호 및 이전 장치 기록은 불일치 또는 빠른 신원 전환을 나타낼 수 있습니다.

브라우저 및 장치 수집은 개인 정보 보호 법률, 동의 요구 사항 및 플랫폼 제한을 준수해야 합니다. 기술적으로 사용 가능한 기능이라고 해서 무제한 수집이 적절하다는 의미는 아닙니다.

행동, 속도 및 계정 그래프

연결 위험은 행동과 결합될 때 더 유익해집니다.

• 짧은 간격 내에 한 엔드포인트에서 많은 계정;
• 관련 없는 네트워크 또는 국가를 순환하는 하나의 계정;
• 반복적인 가입, 결제, 프로모션 또는 복구 시도;
• 장치 및 신원 간의 동기화된 작업;
• 민감한 작업 중에 나타나는 새 네트워크;
• 반복적인 실패 후 갑작스러운 성공적인 시도.

이러한 패턴은 공유 작업 공간, 캠퍼스, 가구 또는 모바일 네트워크에서도 발생할 수 있습니다. 계정 연령, 장치 연속성, 확인된 신원 및 작업 가치를 사용하여 이를 해석하십시오.

서비스 경계의 직접적인 증거

로드 밸런서, 리버스 프록시 또는 CDN 뒤에 있는 애플리케이션은 먼저 어떤 구성 요소가 연결 클라이언트 주소를 정확하게 보고할 수 있는지 설정해야 합니다. 임의의 클라이언트 제공 전달 헤더를 수락하면 호출자가 주소를 생성할 수 있습니다.

신뢰할 수 있는 프록시 목록을 구성하고, 플랫폼의 문서화된 헤더를 사용하고, 신뢰할 수 없는 홉을 거부하거나 무시하십시오. 잘못된 주소 추출은 모든 하위 감지 결과를 무효화할 수 있습니다.

가장 어려운 경우

주거용 프록시 네트워크

주거용 출구는 동적으로 할당될 수 있으며 일반 소비자 제공업체와 관련될 수 있습니다. 평판 목록은 지연될 수 있으며, 네트워크 소유권만으로는 릴레이를 구별하지 못할 수 있습니다. 회전 패턴, 장치 불일치, 계정 연결 및 사후 이벤트 결과가 더 중요해집니다.

모바일 네트워크

통신사급 NAT는 많은 관련 없는 가입자를 소수의 주소 풀 뒤에 둘 수 있습니다. 장치가 이동하거나 다시 연결될 때 빠른 주소 변경은 정상일 수 있습니다. IP 수준 속도 규칙에는 통신사를 인지하는 기준선이 필요합니다.

기업 및 보안 게이트웨이

트래픽이 회사 게이트웨이 또는 보안 웹 서비스를 통해 나가기 때문에 직원이 다른 도시나 국가에 나타날 수 있습니다. 관리되는 장치, 안정적인 조직 기록 및 선언된 기업 사용은 IP가 릴레이 또는 호스팅 네트워크로 분류되는 경우에도 위험을 낮출 수 있습니다.

신규 및 소량 출구

새로운 게이트웨이는 아직 평판 데이터에 나타나지 않을 수 있습니다. 반대로 주소는 역할이 변경된 후에도 부정적인 레이블을 유지할 수 있습니다. 최신 정보, 관찰 시간, 신뢰도 및 이유 코드가 분류와 함께 전달되어야 합니다.

IPv6

IPv6는 주소 공간을 확장하고 네트워크가 주소를 할당하는 방식을 변경합니다. 단일 IPv4 주소를 중심으로 설계된 시스템은 사용자를 과대 또는 과소 계산할 수 있습니다. 의도된 위험 질문에 따라 정규화된 주소와 접두사를 저장하고 비교하십시오.

감지 서비스를 평가하는 방법

1. 결과 및 단위를 정의합니다.

시스템이 IP, 연결, 장치 세션 또는 계정 작업을 분류하는지 결정합니다. 모든 비직접 경로를 하나의 레이블로 결합하는 대신 중개자 클래스를 별도로 정의합니다.

2. 기본 진실을 확립합니다.

제어된 VPN 및 프록시 엔드포인트, 확인된 제공업체 범위, 게시된 Tor 출구, 내부 네트워크 지식 및 판정된 생산 사례를 사용합니다. 다른 공급업체를 평가할 때 한 공급업체의 레이블을 의심할 여지 없는 진실로 취급하지 마십시오.

3. 트래픽 세그먼트별로 측정합니다.

정확도, 재현율, 오탐율, 커버리지 및 알 수 없는 비율을 다음 기준으로 보고합니다.

• 중개자 유형;
• 소비자, 호스팅, 기업 및 모바일 네트워크;
• 국가 및 지역;
• IPv4 및 IPv6;
• 브라우저, 애플리케이션 및 장치 클래스;
• 신규 및 재방문 계정;
• 저위험 및 민감한 작업.

하나의 전역 정확도 숫자는 쉬운 데이터 센터 사례에 의해 지배될 수 있으며 주거용 또는 모바일 출구의 성능을 숨길 수 있습니다.

4. 최신 정보 및 안정성을 테스트합니다.

새로운 인프라 식별 시간, 오래된 레이블 제거 시간, 업데이트 빈도, 조회 가용성 및 데이터가 없을 때의 동작을 측정합니다. 각 결정과 함께 분류 타임스탬프 및 버전을 저장합니다.

5. 분류뿐만 아니라 정책도 테스트합니다.

제안된 규칙을 통해 이전 트래픽을 재생합니다. 실제 사용자 문제, 검토 부하, 이탈, 사기 포착 및 고객 지원 영향을 추정합니다. 전면 차단과 단계별 대응을 비교합니다.

6. 지연 시간 및 데이터 최소화를 검증합니다.

현실적인 동시성에서 조회 지연 시간을 측정하고 수집해야 하는 기능을 결정합니다. 명확한 액세스 및 보존 제어를 통해 목적에 필요한 증거만 보관합니다.

위험 기반 정책

감지된 VPN 또는 프록시는 계정 및 이벤트에 따라 다른 조치로 이어질 수 있습니다.

• 허용: 저위험 작업, 확립된 계정, 알려진 장치 또는 인식된 기업 네트워크.
• 관찰: 신호를 기록하고 속도 또는 나중의 불일치를 주시합니다.
• 강화: 민감한 작업에 대해 더 강력한 인증, 신원 증거 또는 라이브니스(liveness)를 요청합니다.
• 제한: 신뢰가 개발되는 동안 거래 가치, 프로모션 사용 또는 자동화율을 줄입니다.
• 검토: 고가치 또는 모순된 사례를 명확한 이유 코드와 함께 훈련된 분석가에게 보냅니다.
• 거부: 문서화된 위험 임계값을 초과하는 증거 조합에 대해 예약합니다.

정책은 개인 정보 보호 선호와 계정 탈취, 다중 계정 남용, 결제 사기, 제재 회피 또는 위치 제한 액세스 증거를 구별해야 합니다. 규제 환경에서는 법률 및 규정 준수 팀이 적용되는 위치 및 신원 제어를 정의해야 합니다.

실용적인 구현 모델

요청 시 신뢰할 수 있는 인프라 경계를 통해 연결 주소를 캡처하고 인텔리전스 결과를 얻습니다. 이진 플래그만 저장하는 대신 구조화된 필드를 저장합니다.

• 관찰된 IP 및 버전;
• 네트워크 소유자 및 자율 시스템;
• 연결 카테고리;
• 의심되는 중개자 유형;
• 국가 또는 지역 추정 및 신뢰도;
• 증거 타임스탬프 및 제공업체 버전;
• 위험 점수 및 이유 코드;
• 사용 불가능 또는 알 수 없음을 포함한 조회 상태.

해당 기록을 세션, 계정, 장치, 작업 및 이전 기록에 연결합니다. 그러면 정책 엔진은 다음을 고려할 수 있습니다.

네트워크 증거
+ 장치 연속성
+ 계정 기록
+ 신원 보증
+ 작업 가치
+ 속도 및 연결된 행동
= 허용, 관찰, 강화, 검토, 제한 또는 거부

원시 증거를 결정과 분리합니다. 이렇게 하면 기본 관찰이 변경되지 않은 것처럼 가장하지 않고 정책을 업데이트할 수 있습니다.

흔한 실수

감지를 사기 증거로 취급

VPN 및 프록시는 합법적인 용도를 가지고 있습니다. 감지 결과는 의도가 아닌 네트워크 경로를 설명합니다.

원본 IP를 공개한다고 주장

대상은 일반적으로 중개자를 관찰합니다. 다른 신호가 불일치를 노출할 수 있지만, 숨겨진 소스 주소를 안정적으로 복구하지 못합니다.

호스팅 네트워크를 무차별적으로 차단

클라우드 네트워크는 자동화 및 남용을 호스팅하지만, 기업 게이트웨이, 개발자, 접근성 서비스 및 보안 제품도 호스팅합니다. 소유권을 작업 및 계정 컨텍스트와 결합합니다.

공유 IP 주소 무시

가구, 사무실, 학교, 호텔 및 통신사는 합법적인 다중 사용자 패턴을 생성합니다. 장치 및 신원 증거가 없는 경우 IP 기반 계정 제한은 실제 사람을 제외할 수 있습니다.

타임스탬프 없는 오래된 목록 사용

출구 인프라가 순환하고 주소 소유자가 변경됩니다. 관찰 시간, 업데이트 정책 또는 신뢰도가 없는 레이블은 방어하기 어렵습니다.

공개 인터넷에서 전달 헤더 신뢰

클라이언트 제어 헤더는 요청이 임의의 주소에서 시작된 것처럼 보이게 할 수 있습니다. 애플리케이션의 신뢰할 수 있는 프록시 체인에 있는 인프라만 권위 있는 클라이언트 IP 데이터를 설정해야 합니다.

알 수 없는 것을 깨끗한 이진 파일에 숨기기

데이터 없음, 낮은 신뢰도 분류 및 확실한 "감지되지 않음" 결과는 다른 상태입니다. 이를 별도로 보존합니다.

Didit을 사용하여 확인 워크플로 내에서 네트워크 위험 관리

Didit은 IP 분석 및 장치 인텔리전스를 제공하며, IP 분석은 체크당 0.03달러로 책정됩니다. 팀은 신분증 확인, 생체 인식 확인 및 계정 컨텍스트와 함께 네트워크 및 장치 증거를 워크플로 오케스트레이터를 통해 결합할 수 있습니다.

전체 KYC 번들은 0.33달러이며, 신분증 확인, 수동 라이브니스, 얼굴 매칭 및 IP 분석을 결합합니다. 현재 모듈 가격은 가격 페이지에서 확인할 수 있습니다. 네트워크 위험 결과는 정책의 한 가지 입력으로 남아 있습니다. 이는 사용자가 사기성이 있거나 특정 장소에 물리적으로 위치한다는 증거로 표현되어서는 안 됩니다.

자주 묻는 질문

VPN과 프록시의 차이점은 무엇입니까?

VPN은 일반적으로 장치 또는 네트워크 트래픽을 게이트웨이로 터널링하는 반면, 포워드 프록시는 애플리케이션 또는 프로토콜 계층에서 클라이언트에 대한 요청을 중계합니다. 둘 다 대상에 보이는 주소를 변경할 수 있습니다.

웹사이트는 항상 VPN을 감지할 수 있습니까?

아니요. 알려진 게이트웨이 및 데이터 센터 출구는 쉽게 분류될 수 있지만, 신규, 비공개, 주거용 또는 모바일 출구는 일반 액세스 트래픽과 유사할 수 있습니다. 감지는 오탐, 미탐 및 알 수 없는 사례를 포함합니다.

VPN 사용은 사기의 징후입니까?

아니요. 사람들은 개인 정보 보호, 업무, 여행 및 보안을 위해 VPN을 사용합니다. VPN 사용은 작업, 계정 기록, 장치, 신원 증거 및 정책에 따라 관련성을 높이거나 낮출 수 있습니다.

주거용 프록시를 감지하기 어려운 이유는 무엇입니까?

이들의 출구 주소는 호스팅 네트워크가 아닌 소비자 인터넷 제공업체에 속할 수 있습니다. 감지는 종종 최신 관찰과 행동, 장치 및 계정 연결 증거가 필요합니다.

WebRTC가 사용자의 실제 IP를 공개할 수 있습니까?

애플리케이션은 브라우저 인터페이스가 숨겨진 공용 주소를 노출한다는 약속을 기반으로 정책을 구축해서는 안 됩니다. 브라우저 동작, 권한, 네트워크 아키텍처 및 개인 정보 보호는 다양합니다. 허용된 모든 관찰을 하나의 일관성 신호로 취급하고 데이터 보호 요구 사항을 따르십시오.

서비스는 Tor를 차단해야 합니까?

이는 감지 규칙이 아닌 정책 결정입니다. Tor는 합법적인 익명성 용도를 가지고 있습니다. 보호되는 작업, 법적 의무, 남용 기록, 대체 확인 및 오탐의 결과가 대응을 결정해야 합니다.

프록시 감지는 어떻게 측정해야 합니까?

제어되고 확인된 기본 진실을 사용한 다음, 중개자 및 네트워크 유형별로 정확도, 재현율, 오탐율, 커버리지 및 알 수 없는 비율을 보고합니다. 데이터 최신 정보, 지연 시간 및 결과 정책의 운영 효과를 포함합니다.

주요 참고 자료

• NIST 용어집: 프록시
• IETF RFC 9484: HTTP의 IP 프록시
• IETF RFC 6888: 통신사급 NAT의 일반 요구 사항
• Cloudflare 보안 센터: 위협 조사
• Tor 프로젝트: 릴레이 및 출구 정책 문서

좋은 VPN 및 프록시 감지는 불확실성을 가시화합니다. 관찰된 네트워크 경로를 분류하고, 증거와 최신 정보를 보존하며, 하나의 불완전한 신호를 판정으로 전환하는 대신 계정 및 작업에 비례하여 정책이 대응하도록 합니다.