Principales raisons pour lesquelles les adresses IP sont mises sur liste noire
La liste noire d'adresses IP est une méthode de sécurité que les serveurs et les services utilisent pour bloquer le trafic provenant de sources connues ou considérées comme dangereuses. Et si une adresse IP apparaît sur une liste noire en temps réel (RBL) ou sur une liste noire du système de noms de domaine (DNSBL), elle peut être empêchée d'envoyer des e-mails, d'ouvrir des sites Web ou d'utiliser des services en ligne. Cela arrive souvent à cause de mauvaises actions. Cependant, dans certains cas, les utilisateurs ordinaires peuvent également être mis sur liste noire, par exemple lorsque les paramètres de leur serveur sont incorrects, que leurs appareils sont infectés ou que les hôtes partagés qu'ils utilisent rencontrent des problèmes. Et les experts affirment que les listes noires sont des outils puissants qui aident à stopper le spam et les menaces en ligne. Mais ils affirment également que ces outils peuvent nuire aux bonnes organisations lorsque les serveurs ne sont pas correctement configurés ou sont utilisés par d’autres à l’insu des propriétaires.
Envoi de spams
Lorsqu’une adresse ip participe fréquemment à l’envoi de spam, elle a de fortes chances d’être mise sur liste noire. Surtout lorsqu'il envoie un grand nombre d'e-mails professionnels non sollicités sur une courte période de temps, divers systèmes anti-spam (tels que Spamhaus ou Barracuda) le marqueront automatiquement et l'ajouteront à la liste noire. Bien que ce mécanisme freine efficacement le spam, il peut également causer des « dommages accidentels » - ce qui entraîne l'interception de tous les e-mails envoyés à partir de ce IP, y compris les transactions commerciales normales.
Dans la pratique, de nombreuses entreprises rencontrent de tels problèmes non pas par malveillance subjective, mais souvent à cause de défauts techniques : il se peut que le serveur de messagerie soit mal configuré ou qu'un compte d'employé soit piraté et transformé en outil de spam. Cependant, le système de cybersécurité ne distingue pas ces détails. Une fois qu'une alarme est déclenchée, toute l'adresse IP sera complètement bloquée.
Pour éviter cette situation, les entreprises modernes adoptent généralement le triple mécanisme de vérification SPF, DKIM et DMARC. Ces normes techniques équivalent à la mise en place d'une « carte numérique ID » pour les e-mails, qui peut non seulement garantir que les e-mails proviennent bien de serveurs autorisés, mais aussi empêcher efficacement des tiers de falsifier des noms de domaine d'entreprise pour mener des activités frauduleuses. Cette mesure de protection est devenue une configuration standard pour les systèmes de messagerie d'entreprise.
Hébergement de logiciels malveillants ou de contenu de phishing
Une autre raison courante pour laquelle les adresses IP sont bloquées est la propagation de virus ou de contenu de phishing. Le système de sécurité surveillera en permanence le trafic réseau. Une fois qu'il détecte qu'un certain Adresse IP distribue un logiciel malveillant ou falsifie des pages de connexion, il le mettra immédiatement sur la liste noire. Cette situation se produit souvent à l'insu de l'entreprise : il se peut que le serveur ait été envahi ou que l'ordinateur d'un employé ait été infecté par un virus, conduisant à une exploitation malveillante des adresses IP. Bien que cela soit compréhensible, le système de sécurité ne fait pas de distinction entre les activités intentionnelles et non intentionnelles.
Une fois les activités malveillantes détectées, l'intégralité du IP sera interdite, ce qui aura un impact sérieux sur le fonctionnement normal de l'entreprise. Une fois qu'un serveur est identifié comme utilisant un code dangereux ou des liens dangereux, le système le marquera immédiatement et ajoutera le IP à la liste noire. Certains attaquants s'introduisent dans des sites Web qui exécutent d'anciens systèmes de contenu comme WordPress ou Joomla, et placent du mauvais code tel que des scripts nuisibles. Ils mettent également en place des redirections ouvertes qui envoient les utilisateurs vers de faux sites Web, et ces actions se produisent généralement à l’insu du propriétaire. Le système de navigation sécurisée de Google vérifie des milliards de sites Web chaque jour et en trouve beaucoup qui ne sont pas sécurisés, ce qui montre à quelle fréquence les sites Web sont ciblés. Lorsqu'un site est utilisé de cette manière, l'adresse IP est rapidement marquée comme dangereuse, et tout ce qui utilise cette adresse IP peut également être bloqué par des filtres de messagerie ou des pare-feu Web.
Relais ouverts ou mauvaise configuration du proxy
Une autre raison typique pour laquelle une adresse IP est mise sur liste noire est la mauvaise configuration des serveurs relais ou proxy ouverts. Les serveurs de messagerie ouverts permettent à tout utilisateur de transférer des e-mails via eux. Cette conception était plus courante dans le passé, mais elle est aujourd’hui fortement exploitée par les spammeurs. Les attaquants analysent souvent le réseau à la recherche de tels relais ouverts, envoyant ainsi anonymement une grande quantité de spam.
Tout aussi risqués sont les proxys mal configurés ou VPN serveurs. Si la sécurité de ces services n'est pas correctement vérifiée, ils peuvent être exploités par des attaquants pour cacher leurs véritables sources de trafic, ce qui entraînerait le marquage des adresses IP pertinentes en raison d'activités suspectes. Le système de liste noire surveillera en permanence ce trafic anormal. Une fois détectés, le IP concerné ou l'ensemble du segment de réseau sera mis sur liste noire. Il convient particulièrement de noter que les listes de prévention professionnelles (SBLS) telles que Spamhaus détecteront de manière proactive de tels comportements abusifs.
Blocage IP causé par des botnets ou des attaques DDoS
Une autre situation typique qui conduit à la mise sur liste noire d'une adresse ip est lorsque l'appareil est infecté par un virus zombie ou participe à une attaque DDoS. Ces appareils contrôlés travailleront ensemble pour envoyer un grand nombre de spams, lancer des attaques par inondation ou tenter des intrusions dans le système sous la manipulation de pirates informatiques, plutôt que d'agir seuls. Étant donné que ces machines infectées font souvent partie d’un vaste réseau d’attaque, leurs adresses IP associées seront rapidement identifiées et bloquées par le système de sécurité. Les serveurs cloud et les appareils périphériques sont plus susceptibles d'être affectés s'ils ne sont pas bien protégés.
L'étude 2024 de Kaspersky a révélé que des mots de passe faibles et des mises à jour de sécurité manquantes ont fait d'un grand nombre d'appareils Internet des objets la proie du nouveau botnet Mirai. Les routeurs et caméras contrôlés génèrent en permanence du trafic malveillant et, par conséquent, leurs adresses IP sont toutes étiquetées comme « à haut risque ». Une fois que le système de sécurité aura détecté un tel trafic anormal, il interdira non seulement un seul IP, mais pourra même bloquer l'ensemble du segment du réseau. D'autres services qui utilisent le même IP peuvent également cesser de fonctionner, même s'ils ne font pas partie de l'attaque.
Environnements d'hébergement partagés
Une caractéristique typique d'un environnement d'hébergement partagé est que plusieurs sites Web partagent la même adresse publique IP. Cette architecture est très courante dans les services d'hébergement économiques : un seul serveur héberge souvent des centaines de sites indépendants simultanément. Lorsque le système de protection de sécurité détecte que l'un des sites Web envoie du spam ou héberge du contenu malveillant, il met généralement directement sur liste noire l'intégralité de l'adresse IP. Le problème réside dans le fait que les mécanismes de détection de ces systèmes sont basés sur des adresses IP plutôt que sur des noms de domaine spécifiques, ce qui conduit à une situation délicate : même si d'autres opérateurs de sites Web respectent toujours strictement les règles de sécurité, ils seront inévitablement impliqués. Ce mécanisme « une perte entraîne toutes les pertes » oblige les sites Web qui fonctionnent en conformité à supporter les conséquences des violations commises par d'autres. Ce mécanisme de « interdiction conjointe » expose les utilisateurs de l'hébergement partagé à des risques de sécurité supplémentaires.
Cela crée une situation dans laquelle des sites Web légitimes peuvent rencontrer des e-mails bloqués, un accès limité ou un trafic réduit, même s'ils n'ont rien fait de mal. Les propriétaires de sites Web hébergés sur un hébergement partagé ne peuvent généralement pas voir ou contrôler la manière dont les autres utilisateurs gèrent leurs domaines, mais ils en partagent néanmoins les conséquences. Un site mal configuré ou un compte compromis peut nuire à la réputation de tous les autres utilisateurs utilisant le même IP. Dans de tels environnements, le risque de mise sur liste noire est plus difficile à éviter, car chaque site dépend non seulement de ses propres actions mais également de celles des autres sur le serveur. L’ensemble du groupe peut être affecté avant même que le problème ne soit découvert.
Mauvaise réputation ou abus antérieurs
Certaines adresses ip sont souvent mises sur liste noire en raison de leurs mauvais antécédents d'utilisation. Cette situation se produit généralement dans deux scénarios : l'un se produit lorsqu'une entreprise commence à utiliser une adresse IP qui a déjà été utilisée par d'autres, et l'autre lorsqu'elle change de fournisseur de services réseau et acquiert un nouveau segment d'adresse IP. Même si l'utilisateur actuel est entièrement conforme, tant que ces adresses IP ont déjà été utilisées pour envoyer du spam ou mener des activités malveillantes, la mauvaise réputation qu'elles laissent derrière elles peut toujours conduire à des interdictions continues. De telles taches historiques apportent souvent des problèmes inattendus aux nouveaux utilisateurs. Les nouveaux utilisateurs ne s’en rendent peut-être pas compte au début, mais ils remarquent rapidement des problèmes de blocage des e-mails.
Les systèmes de messagerie examinent l'historique d'un IP lorsqu'ils décident d'accepter ou non un message, et ils font attention à toute adresse qui n'a pas d'enregistrement propre ou connu. Les nouveaux IPs sans utilisation antérieure sont également contrôlés plus strictement. Des services tels que SNDS de Microsoft et Postmaster Tools de Google permettent aux administrateurs de vérifier comment leurs messages sont traités. Ces outils indiquent si le IP est fiable, retardé ou bloqué. Ils aident également à expliquer les problèmes lorsque le courrier n'atteint pas sa cible.
Inverser les problèmes d’enregistrement DNS et PTR
Certains serveurs de messagerie peuvent être bloqués parce que leurs adresses IP n'ont pas de code inverse approprié. DNS enregistrements.Lors de la réception d'e-mails, les services de messagerie vérifient généralement la configuration de DNS inversé (enregistrements PTR). Ce mécanisme permet de confirmer la correspondance entre l'adresse IP et le nom de domaine envoyé. Si l'enregistrement PTR est manquant ou si le nom de domaine affiché ne correspond pas au nom de domaine d'envoi, l'e-mail est très susceptible d'être rejeté ou directement classé comme spam. Les fournisseurs de services de messagerie grand public comme Gmail appliqueront strictement cette inspection.
Cette situation est particulièrement courante lorsque de nouveaux serveurs sont déployés. Lorsque les administrateurs configurent le serveur, s'ils négligent la configuration ou la correction des enregistrements PTR, cela entraînera des problèmes de livraison des e-mails. Même si le contenu de l’email est tout à fait conforme, un tel oubli technique peut néanmoins sérieusement affecter l’acheminement normal de l’email. Cela arrive également lorsqu'une société d'hébergement distribue de nouveaux IPs sans établir aucun enregistrement. Certains services laissent à l'utilisateur le soin de terminer la configuration. Si personne ne remarque le problème, les messages provenant de ce IP peuvent être traités comme du spam. De nombreux filtres utilisent cette vérification très tôt, donc son absence peut entraîner des problèmes de livraison même si le message lui-même est propre.
Volume élevé de destinataires inconnus
Si un serveur de messagerie envoie fréquemment des e-mails à des adresses e-mail inexistantes, il est très probable qu'il soit bloqué. Le serveur envoie des e-mails à un grand nombre d'adresses invalides, cela conduit souvent à être mis sur liste noire. Cette situation provient principalement de trois opérations courantes : utiliser des listes de diffusion historiques non vérifiées, ajouter des adresses de destinataires non confirmées ou effectuer des envois massifs en devinant aveuglément des adresses. Chaque fois que le nombre d'e-mails invalides renvoyés atteint un certain seuil, le système anti-spam déterminera que le serveur a un comportement suspect. Même si l'expéditeur n'a aucune mauvaise intention, ce mode d'envoi d'e-mails apparemment « imprudent » déclenchera la réponse de défense du mécanisme de sécurité, affectant finalement la livraison normale des e-mails.
De nombreux systèmes de messagerie suivent la fréquence à laquelle un serveur envoie des messages à des utilisateurs valides par rapport à la fréquence à laquelle il atteint des utilisateurs non valides. Si le nombre d'échecs reste élevé, cela peut affecter la réputation du IP expéditeur. SenderBase de Cisco vérifie cela en comparant le nombre d'e-mails acceptés et le nombre de rebonds. Lorsque le ratio empire, le système diminue le score de cet expéditeur. Certains services ralentissent le courrier entrant provenant de ce IP, et d'autres peuvent le bloquer complètement. Cela peut commencer avant que l’expéditeur ne remarque que quelque chose ne va pas, surtout si personne ne vérifie les rapports de rebond.
