最具滥用性的网络

此数据库中的网络地址段不仅仅是个别恶意行为者——它们是整段 IP 区块，其运营者有据可查地长期托管垃圾邮件基础设施、恶意软件命令与控制服务器、僵尸网络中继节点，或大规模漏洞利用工具。这些并非单一被入侵的主机；而是持续出现在多个独立威胁情报源中、且缺乏合法流量模式可抵消的网络分配。

评分基于跨情报源交叉验证：标记某网络的独立来源越多，评分就越高。仅出现在一个情报源中的区块可能只是噪音；出现在五个互不相关的情报源中的区块，几乎可以确定是恶意的。ipto 的评分引擎会对重叠地址段去重，并在多个情报源覆盖同一网络时赋予置信度最高的评分。

评分如何运作

分数范围

1 至 10。该分数代表该网络地址段属于恶意的置信度，取决于有多少独立威胁来源标记了它，以及它们报告的威胁类别。分数越高，代表来源权威性越高，或多个情报源的一致性越强。

分数 8–10
严重

置信度最高的威胁。这类区块通常注册给犯罪基础设施运营者、由权威路由安全组织报告，或代表被劫持并被积极滥用的 IP 空间。可预期垃圾邮件、恶意软件分发、凭据窃取或协同攻击行为。

分数 5–7
高风险

已被多个情报源确认为恶意，但未必属于有组织的犯罪基础设施。通常包括防弹主机客户、明知故纵容滥用租户的垃圾邮件 ISP，以及利用住宅代理或数据中心区块运营的僵尸网络操控者。

分数 3–4
中等

已被多个情报源标记，但佐证程度较低。可能包括少数滥用租户污染较大分配的共享托管环境，或曾有滥用历史、此后可能已易主的区块。

列定义

网络地址段

被判定为滥用的 IPv4 CIDR 区块。一条 /24 记录代表该子网中全部 256 个地址均涉及在内——该区块已被恶意基础设施分配或积极使用，而非干净地址段中的个别被标记主机。

分数

1–10 的严重程度评分，反映跨情报源佐证的深度。无论多少情报源达成一致，评分都以 10 为上限，以保持量表一致性。

风险等级

直接由评分推导而来的等级：严重（8–10）、高风险（5–7）、中等（3–4）。宽泛的策略决策可使用等级；需要精细排序时则使用原始评分。

应用场景

防火墙规则

在网络边界阻止来自“严重”与“高风险”地址段的入站连接。这些区块几乎没有合理的正当用途来访问大多数生产环境服务。

邮件过滤

在进行内容分析前，拒绝来自滥用网络地址段的 SMTP 连接。若发件 IP 位于“严重”等级区块，再高的内容评分也无法为其平反。

API 速率限制

对来自“高”与“严重”区块的 API 请求，施加严格的速率限制或 CAPTCHA 验证。撞库攻击与爬虫工具常来自这些地址段。

威胁情报增强

与你自己的 SIEM/SOAR 事件进行交叉比对。当告警 IP 落在“严重”网络地址段内时，自动升级处理——基础设施背景会改变响应优先级。

误报考量：少数共享托管供应商会出现在“中等”等级记录中，因为滥用租户污染了原本合法的 ASN。在应用一刀切政策之前，请先审视“中等”等级区块，尤其是面向消费者的服务，因为过度封锁会影响用户。