IP 黑名單濫用分數與交叉佐證
IP 濫用分數是一個數字,用來概括某個位址在各個威脅情資來源中與惡意活動的關聯強度,而交叉佐證則是依據有多少獨立來源意見一致來加權該分數。被多個互不相關的來源列入的位址,其訊號遠比只出現在單一嘈雜清單上的位址強得多。
為何單一黑名單不夠
黑名單的建立目的各不相同,失效模式也不同。有的清單追蹤垃圾郵件寄送者,有的追蹤殭屍網路的指揮伺服器,有的則追蹤探測開放連接埠的掃描器。清單可能過於敏感而標記過多,也可能偏保守而落後。有些條目已經過時,因為濫用行為停止後,該位址已被重新配給無辜的客戶。如果你只依據單一來源封鎖,就會承襲它的盲點與錯誤。如果你全部忽略,又會錯過真正的攻擊。
交叉佐證是標準的解法:把每個來源當作一位證人,尋找彼此一致之處。其道理在於統計:獨立的來源很少會同時對同一個位址犯下相同的錯誤,因此一致性會提高信心,而單一的列入則應得到較低的分數與較溫和的回應。這也是地理定位中「國家與城市」的論點在信譽領域的延伸:支持某項主張的獨立證據越多,你就越能依賴它。
IP 濫用分數如何由各來源建構
IP 濫用檢查工具會回報某個位址在多個威脅情資來源中受到怎樣的看待,並將其濃縮為濫用分數與風險等級。在幕後,ipto 整合了公開來源,包括 IPsum 彙總封鎖清單,以及 Spamhaus DROP 與 EDROP 清單。IPsum 本身會計算有多少底層封鎖清單提及某個位址,而 ipto 只納入至少出現在其中三份清單的位址,並將分數上限設為 10。Spamhaus DROP 與 EDROP 是經人工整理的被劫持或受犯罪組織控制的網路範圍清單,因此其條目的分數位於量表的最高端。當同一個範圍出現在多個來源時,則保留最高分。
分數對應到風險等級:8 以上為嚴重(critical),5 到 7 為高(high),其餘較低者為中(medium)。結果也會顯示該位址所屬的網路,這一點很重要,因為濫用往往集中在某個範圍或營運者,而不是單一主機。濫用網路頁面列出最具濫用性的範圍,而威脅情資來源頁面則顯示即時的 VPN、Tor 與高風險清單,每 6 小時更新一次。在查詢 API 中,結果除了 is_vpn、is_tor 和 is_datacenter 之外,也帶有 is_abuser。
分數不是什麼
這是信譽分數,而不是郵件伺服器的 DNS 黑名單查詢,在診斷寄往特定收件服務供應商的郵件投遞問題時,不應用它來取代後者。它也看不到沒有任何來源記錄過的行為:一台剛被入侵、尚無歷史紀錄的主機,分數會顯示為乾淨。此外,共用或重新配發的位址可能承載前一位使用者的信譽。電信級 NAT(carrier-grade NAT)使問題更加尖銳,因為一個行動網路位址可能服務許多互不相關的人。ipto 無法偵測住宅 Proxy 網路,因此經由一般家用連線轉送的流量,不會被這些來源標記。
解讀來源之間的分歧
交叉佐證在來源意見分歧時,與意見一致時同樣有用。如果某個範圍出現在經人工整理的劫持清單中,但沒有其他來源提及其中的個別主機,那麼可能的情況是營運者本身有問題,而不是客戶機器遭入侵,因此即使沒有任何單一主機有歷史紀錄,封鎖該範圍也可能是正確的。如果某台主機只出現在彙總清單中且計數偏低,別處都沒有,那可能是已被清除的短暫感染。像濫用網路清單那樣,在每個分數旁保留來源可見,能讓分析人員看到結論是如何得出的,而不是只信任一個單純的數字。
依據分數採取行動
讓回應與信心程度相符。對於來自資料中心範圍、打到你登入端點的嚴重分數,封鎖或嚴格的挑戰是合理的。對於中等分數,應增加摩擦而不是直接拒絕:例如 CAPTCHA、電子郵件確認或較低的速率限制。若沒有分數,則無需特別處理,但也不要把它當成健康狀況良好的證明。請將分數隨每個決策一併記錄,以便檢視誤判並調整門檻。
在升級處置之前,請先將信譽與其他訊號結合。詐欺分數檢查工具會將 IP 信譽、拋棄式電子郵件偵測、電話驗證與 User-Agent 分類合併成單一的 0 到 100 分數,並顯示每項訊號的貢獻程度。這能讓結果保持可解釋,當合法客戶詢問為何被要求驗證時,這一點相當重要。關於免費來源的相關取捨,請見 VPN 偵測方法比較,回應欄位則請查閱 API 文件。免費金鑰每天允許 1,000 次請求,無需註冊。