Spur

概要

Spur（スパー）は、インターネット上で匿名化されているIPアドレスの背後にある実態を可視化することに特化した、サイバー脅威インテリジェンス製品です。世界中のVPNサービスやプロキシサービス、マルウェアネットワーク（ボットネット）、モバイル回線、家庭用回線（レジデンシャルネットワーク）など、さまざまな種類の通信を日々観測しています。

攻撃者は多くの場合、匿名化サービスを使って自分の身元を隠そうとします。Spurは1,100以上の匿名化サービスを追跡し、90日間に2億3,000万以上のIPアドレスを匿名化インフラとして観測しています。これらのインフラを継続的に追跡することで、攻撃の早期発見と、過去に発生したインシデントの調査に活用できます。

各種ウェブサービスを提供する事業者にとっては、クレジットカード詐欺や不正な金銭取引、偽アカウントの作成、アカウントの乗っ取りといった事故を未然に防ぐための判断材料になります。

Spurは、これらの観測データを3つの形で提供しています。用途に応じて組み合わせて利用する形です。

ウェブインターフェースからは、IPアドレスの検索、観測状況のダッシュボード、APIトークンの発行などを行えます。

3つの提供形態

3つの提供形態は、照合する場所と、扱うデータの量で使い分けます。

• Context API：IPアドレスを指定して、Spurのすべてのデータから属性をリアルタイムに取得するAPIです。SIEM・SOAR・認証基盤などへの組み込みに使います。主な連携先は、Splunk、Microsoft Sentinel、Cortex XSOAR、Maltego、Vertex Synapse、ThreatQuotient、Anomaliなどです
• オンプレミスデータフィード：Spurのデータのうち、匿名化インフラなど重要な部分を抜き出したファイルを自社環境にダウンロードし、外部へ問い合わせずに照合する方式です。毎日更新され（通常は日本時間14時まで）、IPv6版もあります。クエリ数やユーザー数の上限がなく、データを外に出せない環境でも使えます。Exports API を使えば、国やタグで絞り込んだデータや、前日からの差分をCSV・JSON・MMDBで取得し、ファイアウォールやIPSへ直接取り込めます
• Monocle：ウェブサイトやモバイルアプリに組み込み、訪問者のセッションを1件ずつ評価する仕組みです。詳しくは次の項で説明します

Monocleによるセッションの評価

Monocleは、訪問者のセッションごとに、VPN・プロキシ・匿名化サービス・RDP（リモートデスクトップ）・データセンターを使っているかどうかと、接続元の国を評価します。識別したサービス名まで評価結果に入るのは、Enterpriseだけです。

組み込み先は、JavaScript、React、Next.jsなどで作ったウェブサイトのほか、Cloudflare、Amazon CloudFront、Fastlyのエッジ、iOS・Androidのアプリです。評価結果はMonocleの管理画面で確認できます。評価結果を自社のバックエンドで復号して使う方法（Self-Decryption）は、Enterpriseで使えます。

遮断の方針（ポリシー）は管理画面で設定します。戦略は「すべて許可」「標準」「厳しめ」「カスタム」の4つです。方針の設定はTeam・Pro・Enterprise、カスタムのルールはPro・Enterpriseで使えます。既定では遮断しないため、まず監視だけで自社への接続の実態をつかみ、それから遮断を始められます。

2026年10月からは、Cloudflare、Amazon CloudFront、Fastlyとの連携で、ログインや決済など特定のページだけを遮断し、ほかのページは監視だけにできます。

取得できる情報

Spurは、1つのIPアドレスについて20以上の属性を返します。どのような通信インフラなのか、どの匿名化サービスに紐づいているのか、どのような挙動が観測されているのかを、それぞれ別の軸で確認できます。

次の図は、Spur社のドキュメントにある Context API の出力例をもとに、1つのIPアドレスで返る情報を5つにまとめたものです。

IPアドレスの属性

Infrastructure：そのIPアドレスが使っているインターネットインフラの種類です。

DATACENTER	一般的なデータセンターや仮想プライベートサーバ（VPS）で構成されるインフラ。商用VPNやプロキシサービスの多くがこの環境を利用しています
MOBILE	4GやLTEなど、携帯電話網を基盤とした通信インフラ。動的なIPアドレスや地域ごとの変動が特徴です
SATELLITE	通信衛星を利用する長距離ネットワーク。IPアドレスの位置情報が実際の物理位置と一致しないことが多くあります
IN_FLIGHT_WIFI	航空機内で提供されるWi-Fiに関連するインフラ。位置情報は搭乗者の実際の位置と異なることがあります
GOOGLE	Googleが運用する専用インフラ。公共Wi-Fiや信頼性の低いモバイルネットワークからの通信を中継・集約する目的で構築されています

Risk：悪意がある、または疑わしい挙動が観測されていることを示します。

CALLBACK_PROXY	そのIPアドレスが属するネットワークが、レジデンシャルプロキシやマルウェアプロキシなどの中継機能を持っていることを示します。感染端末や悪質な中継ノードの一部である可能性があります
GEO_MISMATCH	データセンターやホスティングの位置と、利用者が実際にいると推定される位置に不一致があることを示します
LOGIN_BRUTEFORCE	そのIPアドレスから、ウェブフォームなどに対する継続的なログイン試行が検出されています
TUNNEL	VPN、プロキシ、その他のトンネル型サービスの出口ノードであると推定されます
WEB_SCRAPING	自動化されたアクセスやヘッドレスブラウザによるスクレイピング活動が確認されています
AD_FRAUD	広告の不正表示やクリックに関与している挙動が観測されています

Client Behavior：そのIPアドレスを使っている端末が利用しているサービスです。FILE_SHARING（トレントやP2P通信の利用）のほか、TOR_PROXY_USER、LUMINATI_PROXY_USER のように、匿名化サービスのタグに _USER を付けた形で表示されます。

このほか、そのIPアドレスを使っている端末（プロキシを通して使っている側の端末も含みえます）の推定台数と種類（DESKTOP、HEADLESS、IOT、MOBILE）、それらの端末がどこに分布しているかを取得できます。分布は、もっとも集中している都市と国、集中の度合い、地理的な広がりの大きさという形で返るため、1つの回線に各地の端末がぶら下がっている状態なのか、ある地域にまとまっている状態なのかを見分けられます。推定台数が多ければCGNATなどで多くの利用者が共有する回線、少なければ専用の回線に近いと読めます。

IPアドレスの見かけの位置と、端末が集中している場所との距離も返ります。たとえば、アムステルダムのデータセンターにあるIPアドレスで、端末の集中地がインド、距離が6,762kmという例があります。集中地は端末がもっとも多くまとまっている場所で、すべての端末の位置ではありません。値は観測した時点のものです。

VPNやプロキシのトンネルについては、入口と出口のIPアドレス、運営する事業者、通信方式（OpenVPN、WireGuard、Shadowsocksなど）を取得できます。商用VPNのように匿名化のためのトンネルか、企業のVPNやZTNAのように匿名化を目的としないトンネルかも区別されます。遮断するかどうかは、出口のIPアドレスで判断します。

匿名化サービスのタグ

個々の匿名化サービスには、LUMINATI_PROXY、OXYLABS_PROXY のようなタグが割り当てられています。タグごとに、そのサービスの分類（Service Category）、追跡しているIPアドレスの数、1日あたりの入れ替わり率、出口として観測された国の分布、そのサービスを再販している事業者などを確認できます。

Service Category には RESIDENTIAL_PROXY（住宅用IPアドレスを使うプロキシ）、DATACENTER_PROXY、ISP_PROXY、MOBILE_PROXY、MALWARE_PROXY、COMMERCIAL_VPN、FREE_VPN、ENTERPRISE_VPN、GAMING_VPN、DISTRIBUTED_VPN、BLOCKCHAIN_VPN、P2P_PROXY、PUBLIC_PROXY、CDN_PROXY、REMOTE_DESKTOP、ZTNA_PROVIDER などがあります。1つのサービスに複数の分類が付くこともあります。全体の一覧はタグのページで確認できます。

事業者名のタグは、その事業者の通信がそのIPアドレスで観測されたことを示します。事業者がそのIPアドレスを所有・運用しているという意味ではありません。

観測の有効期限（maxAgeDays）：タグごとに、観測を有効とみなす日数が決まっています。その日数のあいだに、そのサービスでの活動が観測されなければ、タグはIPアドレスから外れます。コールバックプロキシやトンネルの事業者のタグが1つもなくなると、そのIPアドレスはデータフィードからも外れます。日数はサービスごとに違い、IPアドレスの入れ替わりが速いサービスほど短くなっています。家庭の端末を使うプロキシは、端末がプールに出入りして出口のIPアドレスが早く変わるため、古い観測を長く残すと、もう出口ではないIPアドレスを載せ続けることになるからです。

弊社が Service Metrics（2026年10月、1,310タグ）を集計した結果は次のとおりです。

maxAgeDays	主なサービス	入れ替わり率（churnRate）の中央値
2〜4日	レジデンシャルプロキシ（Bright Data 2日、Oxylabs 3日、IPIDEA 3日など）、モバイルプロキシ、マルウェアプロキシ	0.11〜0.19
7日	Proton VPN など	0.008
14日	商用VPN（NordVPN、Surfshark など）、データセンタープロキシ、企業のVPN、ZTNA。1,310タグのうち1,068	0.001

AIサービスの識別

2026年3月から、AI事業者に紐づくインフラを識別できます。最初の対象は、OpenAI、Anthropic、Mistral AI、Perplexity AI などです。AIサービスに関係する通信を、一般の利用者や企業のネットワークからの通信と分けて扱えるため、自動化されたアクセスの調査や対応の判断に使えます。

製品・プラン・価格一覧

Spurは単一のプラットフォーム契約が基本となり、その上に提供形態とアドオンを組み合わせる形になっています。プランは4種類です。

1. ※1 Communityで取得したデータは、評価の目的にだけ使えます。
2. ※2 商用利用は、EnterpriseのMSSPプランで契約できます。Community・Team・Proには、商用利用のプランはありません。

上限を超えても自動の超過課金はなく、上限に達した時点で止まります。
2026年1月以前にご契約のお客様は、この限りではありません。

Geolocation データフィード：ルーティング可能なIPv4アドレスの全体について、200超の国の位置情報を収録したフィードです。位置は、個人や世帯を特定できないよう、都市の単位で返ります。地名は日本語でも返ります。位置は、利用者やネットワークの運用者の申告ではなく、Spurが観測した通信の経路にもとづいて決めます。位置の訂正の申し出は、観測した経路と照らして審査されます。Pro・Enterpriseで契約できます。

アドオンオプション

アドオンでは、データの提供形態を追加できます。

オンプレミスデータフィード：Proでは地理情報のフィード（Geo Feed）のみ、Enterpriseではこれに加えて匿名化インフラのフィードを契約できます。匿名化インフラのフィードは3段階で、上位のものが下位の内容をすべて含みます。レジデンシャルプロキシのフィードだけを単独で契約することはできません。

データフィード	収録範囲	更新頻度	1日あたりの規模
Anonymous	VPNサービスに割り当てられているIPアドレス／データセンタープロキシ／固定IPを割り当てるISP経由のプロキシ／特定のサービスに紐づかない匿名IPアドレス／Torネットワーク	日次	約2,500万IP
Anonymous＋Residential	上記のすべてに加えて、レジデンシャルプロキシ／マルウェア感染機器を経由するプロキシ／P2P型プロキシ／ブロックチェーン型の分散VPN／ZTNAのインフラ	日次	約6,000万IP
＋リアルタイム更新	上記のすべてに加えて、5分ごとに新しく検出したIPアドレス（日次のファイルにある項目の一部が欠けることがあります）	日次＋5分ごと	1億件以上のイベント

いずれもオンプレミスにダウンロードして利用する形式で、クエリ数やユーザー数の上限はありません。形式は改行区切りのJSON（gzip圧縮）です。Exports API では、絞り込んだデータをCSV・JSON・MMDBで取得できます。

過去データの参照：Context API では、日付を指定してその時点の観測結果を取得できます。利用には、Historical Query の権限を付けたAPIトークンが必要です。トークンは管理画面から発行し、権限は発行時に指定します。

遡れる範囲は提供形態によって異なります。

提供形態	遡れる範囲	取得の仕方
Context API	2年	IPアドレス1件・1日単位で照会。1回につき月間のクエリ数を1件消費する
オンプレミスデータフィード	過去5年	日ごとのファイルをまとめてダウンロード。クエリ数の上限なし

長期にわたる調査や傾向の分析を行う場合は、データフィードのほうが適しています。

2026年のライセンス体系改定

Spurは2026年2月、それまで Context API・Data Feeds・Monocle という3つの独立した製品として提供していたものを、単一のプラットフォーム契約に統合しました。主な変更点は次の3つです。

• Context API と Monocle が、どのプランにも標準で含まれるようになりました。個別に契約する形ではなくなっています
• データフィードはアドオンになりました。以前は独立した製品でしたが、現在はプラットフォーム契約の上に追加する形です
• 過去データの参照が、APIでも可能になりました。改定前は、過去の観測履歴を参照するにはデータフィードの契約が必要で、APIからは当日の状態しか取得できませんでした

2026年1月以前からご契約のお客様は、従来のライセンス体系のまま継続してご利用いただけます。新体系への移行をご検討の場合はご相談ください。

関連記事Spurのライセンス体系変更のお知らせ（2026年）改定時にお知らせした記事です。改定前後の対応関係をまとめています。

他のIPインテリジェンス製品との使い分け

IPアドレスを調べる製品は複数あり、得意な領域が異なります。目的から選ぶのが確実です。

やりたいこと	適した製品
匿名化インフラそのものを追いたい。過去にさかのぼって、そのIPがいつどのサービスに使われていたかを調べたい	Spur
ログのIPアドレスに、位置・ネットワーク・匿名化の文脈をまとめて付けたい	IPinfo
IPアドレスから国や都市を引き、コンテンツの出し分けや簡易な地域判定に使いたい	MaxMind GeoIP

Spurの強みは追跡対象の広さと時間軸です。1,100以上の匿名化サービスを追跡し、1つのIPアドレスに複数のプロキシ事業者が関与していれば、その内訳が返ります。過去の変遷もたどれます。

一方で、位置情報やネットワーク属性を含めて幅広く文脈を付けたい場合はIPinfoが向いています。たとえばIPinfoが1つのIPアドレスについて返す匿名化サービス名は1件ですが、位置・ASN・施設・匿名化を1回の照会でまとめて取得できます。大量のログに一括で付与する用途ではこちらが扱いやすくなります。

調査の深さを求めるならSpur、文脈の広さを求めるならIPinfo、という整理になります。両方を併用されているお客様も多く、その場合の構成もご相談いただけます。

参考情報

Spur社の各種ドキュメントページでは、APIの仕様やクイックスタート、データフィードの形式などを確認できます。

IPアドレスを調べる製品には、それぞれ得意な領域があります。Spurは匿名化インフラの追跡に特化しており、どの事業者のプールに入っているか、いつから使われているかまで追えます。位置情報やASN、組織名といった文脈を大量のログにまとめて付与したい場合はIPinfo、すでにGeoIPやminFraudを組み込んでいる環境に匿名化の判定を足したい場合は MaxMind GeoIP が適しています。用途が重なる部分もあるため、判断に迷う場合はご相談ください。

関連記事レジデンシャルプロキシとは ─ 仕組みと悪用のリスク、検知の考え方Spurが追跡している匿名化インフラのうち、もっとも検知が難しいレジデンシャルプロキシについて、仕組みと調達の経路、日本のレジデンシャルプロキシをSpurのデータで5年分集計した結果をまとめています。

ライセンスや導入のご相談は、下記よりお気軽にお問い合わせください。