最具濫用行為的網路

此資料庫中的網路範圍不僅僅是個別的惡意行為者——它們是整個 IP 區塊，其營運者有明確紀錄，長期host垃圾郵件基礎架構、惡意軟體命令與控制伺服器、殭屍網路中繼節點，或大規模漏洞利用工具。這些並非單一遭入侵的主機；而是持續出現在多個獨立威脅情資來源中、且缺乏合法流量模式可抵消的網路配置。

分數是根據跨情資來源交叉驗證得出：標記某網路的獨立來源越多，分數就越高。僅出現在一個情資來源中的區塊可能只是雜訊；出現在五個彼此無關的情資來源中的區塊，幾乎可以確定是惡意的。ipto 的評分引擎會去除重疊範圍的重複，並在多個情資來源涵蓋同一網路時，賦予信心最高的分數。

分數如何運作

分數範圍

1 至 10。此分數代表該網路範圍為惡意的信心程度，取決於有多少獨立威脅來源標記它，以及它們回報的威脅類別。分數越高，代表來源權威性越高，或多個情資來源的一致性越強。

分數 8–10
嚴重

信心最高的威脅。這類區塊通常註冊給犯罪基礎架構營運者、由具權威性的路由安全組織回報，或代表遭劫持並被積極濫用的 IP 空間。可預期垃圾郵件、惡意軟體散布、憑證竊取或協同攻擊行為。

分數 5–7
高風險

已由多個情資來源確認為惡意，但未必屬於有組織的犯罪基礎架構。通常包含防彈主機客戶、明知故縱容濫用租戶的垃圾郵件 ISP，以及利用住宅代理或資料中心區塊營運的殭屍網路操控者。

分數 3–4
中等

已被多個情資來源標記，但佐證程度較低。可能包含少數濫用租戶污染較大配置的共用主機環境，或曾有濫用歷史、之後可能已易主的區塊。

欄位定義

網路範圍

被判定為濫用的 IPv4 CIDR 區塊。一筆 /24 項目代表該子網路中全部 256 個位址都涉及在內——該區塊已被惡意基礎架構配置或積極使用，而非乾淨範圍中的個別被標記主機。

分數

1–10 的嚴重程度分數，反映跨情資來源佐證的深度。無論多少情資來源達成一致，分數都以 10 為上限，以維持量表一致性。

風險等級

直接由分數推導而來的等級：嚴重（8–10）、高風險（5–7）、中等（3–4）。廣泛的政策決策可使用等級；需要精細排名時則使用原始分數。

應用情境

防火牆規則

在網路邊界封鎖來自「嚴重」與「高風險」範圍的連入連線。這些區塊幾乎沒有合理的正當用途來連接大多數正式環境服務。

電子郵件過濾

在進行內容分析前，拒絕來自濫用網路範圍的 SMTP 連線。若寄件 IP 位於「嚴重」等級區塊，再高的內容評分也無法為其平反。

API 速率限制

對來自「高」與「嚴重」區塊的 API 請求，套用嚴格的速率限制或 CAPTCHA 驗證。憑證填充攻擊與爬蟲工具經常來自這些範圍。

威脅情資強化

與你自己的 SIEM／SOAR 事件進行交叉比對。當警示 IP 落在「嚴重」網路範圍內時，自動升級處理——基礎架構脈絡會改變回應優先順序。

誤判考量：少數共用主機供應商會出現在「中等」等級項目中，因為濫用租戶污染了原本合法的 ASN。在套用全面性政策之前，請先審視「中等」等級區塊，尤其是面向消費者的服務，因為過度封鎖會影響使用者。