Cortex Xpanse — ASN lügt, RDAP-Eigentum identifiziert
von Shopbetreibern für Shopbetreiber.
RDAP-Netzblock-Eigentum: 6 dokumentierte Scan-Blöcke (147.185.132.0/22, 144.86.173.0/24, 172.105.147.0/24, 198.235.24.0/24, 205.210.31.0/24, 216.25.88.0/21) sind ARIN-registriert auf Palo Alto Networks (PAN-22) bzw. Expanse (EXPAN-13). ASN zeigt Google Cloud (geleast) — irreführend; PTR existiert praktisch nicht. Identifikation per RDAP-Org, nicht ASN/DNS. Palo Alto führt die Range offiziell als Scan-Infrastruktur.
Cortex Xpanse (Expander) ist der internet-weite Attack-Surface-Scanner von Palo Alto Networks (US). Kein SEO-Tool. Der Knackpunkt: die Scan-IPs werden über Google Cloud announced (die ASN zeigt „Google"), aber die Netzblöcke sind im RDAP auf Palo Alto Networks / Expanse registriert. Weder ASN noch PTR taugen — nur das RDAP-Eigentum identifiziert Xpanse. Teil unseres PARC-Security-Feeds.
xpanse.json — Feed ansehen www.paloaltonetworks.com →
Verifikation — jede IP einzeln
Im CINS-Abgleich tauchten 858 Xpanse-IPs auf (AbuseIPDB-Score 0 trotz hunderter Reports). Verifikation:
147.185.132.0/22 AS396982 (Google Cloud) RDAP: PAN-22 Palo Alto ✓
144.86.173.0/24 AS396982 (Google Cloud) RDAP: EXPAN-13 Expanse ✓
216.25.88.0/21 AS396982 (Google Cloud) RDAP: PAN-22 Palo Alto ✓
205.210.31.0/24 · 198.235.24.0/24 RDAP: PAN-22 Palo Alto ✓
172.105.147.0/24 AS63949 (Linode, geleast) RDAP: EXPANSE-INC ✓
Eine reine ASN-Prüfung hätte „Google Cloud" gesagt (falsch), ein PTR existiert nur 1× von 858. Nur das ARIN-RDAP-Netzblock-Eigentum (Org PAN-22 / Expanse) ist der belastbare Beweis — dieselbe Eigentums-Idee wie bei Shadowserver/umich, nur sagt es die Registry statt der ASN. Palo Alto dokumentiert diese Range zudem offiziell als Scan-Quelle („add this range to your allow lists"). Lehre: bei cloud-gehosteten Scannern trügt die ASN — das RDAP-Eigentum zählt.