Como investigar um IP suspeito: passo a passo para iniciantes

Um endereço IP desconhecido apareceu no log do servidor, no alerta do firewall ou numa tentativa de login estranha. E agora? Este guia mostra um roteiro simples, em cinco passos, para descobrir se o IP representa uma ameaça real e decidir o que fazer, usando apenas ferramentas gratuitas.

Passo 1: confirme que é um IP público

Antes de tudo, veja se o endereço é público. IPs privados, como os que começam com 10., 192.168. e de 172.16. a 172.31., existem dentro de milhões de redes locais ao mesmo tempo. Se o alerta envolve um IP privado, a investigação é interna: descubra qual máquina da sua rede usa aquele endereço (pelo DHCP, pelo inventário ou pelo switch).

Também não têm reputação pública os endereços de loopback (127.0.0.1), os de link local (169.254.x.x) e os reservados para documentação (192.0.2.x, 198.51.100.x, 203.0.113.x).

Passo 2: consulte a reputação

Com um IP público em mãos, consulte as bases de reputação. A Consulta de reputação de IP pesquisa o VirusTotal e o AbuseIPDB de uma vez:

• VirusTotal mostra quantos mecanismos de segurança marcaram o IP como malicioso (por exemplo, 6/94).
• AbuseIPDB mostra um score de 0 a 100, baseado nas denúncias dos últimos 90 dias.

Abra também o relatório completo de cada base pelo link Ver detalhes. No AbuseIPDB, leia as categorias das denúncias (força bruta em SSH, varredura de portas, spam…) e as datas. No VirusTotal, veja quais mecanismos detectaram e quais domínios já apontaram para aquele IP.

Passo 3: descubra de quem é a rede

O nome do provedor diz muito sobre o tipo de acesso. Use a ferramenta Localizar IP para ver o país e o ASN, o número que identifica a rede:

• Nuvem e hospedagem (AWS, Azure, Google Cloud, DigitalOcean, OVH, Hetzner): muito usadas por robôs, varreduras e servidores de ataque, mas também por serviços legítimos.
• Provedor residencial ou operadora móvel: em geral, uma pessoa navegando. Pode ser um usuário legítimo ou um computador infectado.
• Empresas e universidades: costumam ser acessos legítimos, mas máquinas comprometidas também existem nessas redes.
• VPNs e proxies anônimos: escondem a origem real; trate com mais cautela quando o acesso envolve login.

Passo 4: cruze com o contexto do alerta

A reputação sozinha não decide nada. Compare com o que você observou:

1. O que o IP fez? Uma única conexão bloqueada é bem diferente de milhares de tentativas de senha.
2. Funcionou? Verifique se houve login bem-sucedido, download de arquivo ou resposta do servidor.
3. Faz sentido para o negócio? Um login administrativo vindo de um país onde ninguém da empresa trabalha merece atenção, mesmo que o IP esteja “limpo”.
4. Há outros IPs parecidos? Ataques automatizados costumam usar vários endereços da mesma rede. Consulte todos de uma vez.

Passo 5: decida e documente

Com base nos passos anteriores, escolha uma ação:

• Reputação ruim + comportamento malicioso: bloqueie o IP (ou a faixa) no firewall, troque as senhas envolvidas e verifique se houve acesso indevido.
• Reputação ruim, mas só tentativas bloqueadas: em geral, é o “ruído de fundo” da internet. Garanta que o serviço exposto está atualizado e protegido (por exemplo, com autenticação em dois fatores e bloqueio após tentativas).
• Reputação limpa + comportamento estranho: não descarte. Ataques direcionados usam infraestrutura nova, sem histórico.
• Reputação limpa + comportamento normal: provável falso positivo do alerta. Registre e ajuste a regra, se for o caso.

Em qualquer caso, documente o que encontrou: IP, data, bases consultadas, resultado e decisão. O botão Modo de Análise da ferramenta gera um resumo pronto para colar no chamado ou no relatório.

Erros comuns

• Bloquear por uma detecção isolada. Leia o guia sobre falsos positivos antes de bloquear IPs de grandes provedores.
• Ignorar a data. Denúncias de meses atrás podem não valer mais: IPs mudam de dono.
• Tentar “revidar”. Nunca faça varreduras ou ataques contra o IP de origem. Além de ilegal, pode atingir um inocente cuja máquina foi invadida.

Resumo

Confirme que o IP é público, consulte a reputação em mais de uma base, descubra o dono da rede, compare com o que realmente aconteceu e só então decida. Com prática, essa análise leva poucos minutos e evita tanto bloqueios desnecessários quanto ameaças ignoradas.