IP 黑名单滥用评分与交叉佐证
IP 滥用评分是一个数字，用来概括某个地址在各威胁情报来源中与恶意活动的关联强度；而交叉佐证，则是按有多少独立情报源一致来给评分加权。被多个互不相关的来源同时列入的地址，其信号远比只出现在某个噪声较大的单一列表上的地址强。
为什么单一黑名单不够
黑名单的建立目的各不相同，失效方式也不同。一个列表可能跟踪垃圾邮件发送者，另一个跟踪僵尸网络的命令服务器，还有一个跟踪探测开放端口的扫描器。列表可能过于敏感而标记过多，也可能偏保守而滞后。有些条目已经过时，因为滥用停止后该地址被重新分配给了无辜的客户。如果你只依据某一个情报源来封锁，就会继承它的盲区和错误；如果完全忽略它们，又会漏掉真正的攻击。
交叉佐证是标准的解决办法：把每个情报源当作一位证人，寻找彼此一致之处。其道理是统计性的。独立来源很少会同时对同一地址犯同样的错误，所以一致能提高置信度，而孤立的列入则应得到较低的评分和较温和的应对。这也是地理定位中“国家级与城市级”那一点在信誉领域的延伸：支持某个论断的独立证据越多，你就越能依赖它。
IP 滥用评分如何由情报源构建
IP 滥用检查器会报告一个地址在多个威胁情报来源中如何被看待，并将其浓缩为滥用评分和风险等级。在后台，ipto 聚合了公开情报源，包括 IPsum 聚合黑名单以及 Spamhaus DROP 和 EDROP 列表。IPsum 本身会统计有多少个底层黑名单提到某个地址，而 ipto 只收录至少出现在其中三个的地址，并将评分上限设为 10。Spamhaus DROP 和 EDROP 是经过人工整理的、被劫持或受犯罪分子控制的网络地址段列表，因此其条目位于评分刻度的最高端。当同一地址段出现在多个情报源中时，保留最高的评分。
评分对应风险等级：8 及以上为严重（critical），5 到 7 为高（high），更低则为中（medium）。结果还会显示该地址所属的网络，这很重要，因为滥用往往集中在某个地址段或运营者，而不是单个主机。滥用网络页面列出了滥用最严重的地址段，威胁情报源页面展示实时的 VPN、Tor 和高风险列表，每 6 小时刷新一次。在查询 API 中，结果除 is_vpn、is_tor 和 is_datacenter 外，还带有 is_abuser。
评分不是什么
这是信誉评分，而不是邮件服务器的 DNS 黑名单查询，在诊断发往特定接收服务商的邮件投递问题时，不应以它代替后者。它也看不到没有任何情报源记录过的行为：一台刚被攻陷、没有历史记录的主机会得到干净的评分。共享或被重新分配的地址可能背负着前一位使用者的信誉。运营商级 NAT 使问题更尖锐，因为一个移动地址可能同时服务许多互不相关的人。ipto 不检测住宅代理网络，因此经由普通家庭连接路由的流量不会被这些情报源标记。
解读情报源之间的分歧
情报源出现分歧时，交叉佐证与一致时同样有用。如果某个地址段出现在人工整理的劫持列表中，但没有其他来源提到其中的个别主机，那么更可能是运营者的问题，而不是某位客户的机器被攻陷，此时即便没有单个主机有历史记录，封锁该地址段也可能是正确的。如果某台主机只出现在聚合列表中、计数很低且别处都没有，那它可能是已经被清理的短暂感染。像滥用网络列表那样，在每个评分旁保留来源情报源的可见性，能让分析人员看到结论是如何得出的，而不是只信任一个光秃秃的数字。
依据评分采取行动
让应对措施与置信度相匹配。对于来自数据中心地址段、并访问你登录端点的严重评分，封锁或强验证挑战是合理的。对于中等评分，应增加摩擦而不是拒绝：验证码、邮件确认或更低的速率限制。对于没有评分的情况，不必特别处理，但也不要将其视为一份健康证明。随每次决策记录评分，以便复核误报并调整阈值。
在升级处置之前，把信誉与其他信号结合起来。欺诈评分检查器将 IP 信誉、一次性邮箱检测、电话验证和 User-Agent 分类合并为一个 0 到 100 的分数，并展示每个信号的贡献。这使结果保持可解释，当合法客户询问为何被要求验证时，这一点尤为重要。关于免费情报源的相关权衡，请参阅 VPN 检测方法对比，响应字段见 API 文档。免费密钥每天允许 1,000 次请求，无需注册。