Mapeamento de IP para ASN
Todo endereço IP público pertence a uma rede (um ASN), anunciada como um bloco (um prefixo BGP). Serviços como o da Team Cymru dizem qual é a rede de cada IP.
A internet é feita de milhares de redes independentes: provedores, nuvens, universidades, empresas. Cada uma tem um número, o ASN (Autonomous System Number, número de sistema autônomo). A Cloudflare é o AS13335, a Amazon tem vários, e um provedor de bairro também tem o seu.
Cada rede avisa às outras quais endereços ela atende, usando o protocolo BGP (o "correio" entre as redes). Esse aviso vem em blocos chamados prefixos, escritos em notação CIDR: 200.160.0.0/20 quer dizer "todos os endereços que começam com os mesmos 20 bits de 200.160.0.0", ou seja, de 200.160.0.0 a 200.160.15.255 (4096 endereços). Quanto menor o número depois da barra, maior o bloco.
Os blocos de endereço são distribuídos por cinco RIRs (registros regionais): ARIN (América do Norte), LACNIC (América Latina, inclusive o Brasil), RIPE NCC (Europa e Oriente Médio), APNIC (Ásia e Pacífico) e AFRINIC (África). O registro guarda também um código de país (CC) para cada alocação. Atenção: é o país de quem recebeu o bloco no registro, não necessariamente onde a máquina está nem onde a empresa dona do AS tem sede.
Para descobrir a rede de um IP, o serviço gratuito da Team Cymru responde por whois ou por DNS:
whois -h whois.cymru.com " -v 200.160.2.3"
dig +short TXT 3.2.160.200.origin.asn.cymru.com
A resposta tem as colunas AS | IP | BGP Prefix | CC | Registry | Allocated | AS Name. Para muitos endereços de uma vez, mande uma lista entre begin e end para a porta 43 de whois.cymru.com (por exemplo com nc whois.cymru.com 43 < lista.txt). Quando a coluna AS vem NA, nenhuma rede anuncia aquele endereço: é um endereço privado (10.x, 172.16.x a 172.31.x, 192.168.x), de teste ou um bloco que ninguém está usando.
Esse mapeamento muda com o tempo: blocos são vendidos, redes trocam de provedor. Por isso, num relatório, anote a data da consulta. Em resposta a incidentes, agrupar os IPs atacantes por ASN e por país mostra se o ataque vem de uma nuvem só (e vale avisar o abuso dela) ou de máquinas espalhadas pelo mundo.