IP 信誉评分详解：情报源与交叉佐证
IP 信誉评分，是将多个威胁情报来源的证据合并为一个分数，用以估计某个 IP 地址参与垃圾邮件、扫描、撞库或恶意软件投递等滥用行为的可能性。
该分数是一种汇总，而不是裁决。理解它由哪些输入构成、弱点在哪里，才能让你设定合理的阈值，避免误封合法客户。本文将介绍这些输入、交叉佐证为何重要，以及如何把分数转化为行动。
为什么单个黑名单命中是微弱的信号
黑名单由不同的观测构建而成：垃圾邮件陷阱、蜜罐、滥用举报、扫描遥测、僵尸网络命令与控制跟踪。每一种都有自己的盲区。由垃圾邮件陷阱命中构建的列表，对端口扫描一无所知；由蜜罐连接构建的列表，则可能包含曾被恶意行为者短暂使用、后来又重新分配给无辜客户的共享地址。
地址也会被回收利用。云实例、移动运营商网关和运营商级 NAT 意味着一个公网地址背后可能有成千上万的用户，其中一台受感染的设备就可能玷污所有人的地址。清理之后，列表条目也可能继续存在，因为列表维护者按自己的时间表让条目过期。如果你仅因为某一个列表包含该地址就拒绝流量，就会误封真实的人，而且不知道发生得有多频繁。
这就是为什么由多个独立来源构建的分数，比来自单一来源的布尔值更有用。更详尽的论述请参阅为什么交叉佐证能提高黑名单的准确性。
交叉佐证、加权与时效性
交叉佐证是指要求或奖励观察不同事物的来源之间保持一致。如果一个地址既出现在已知扫描器的情报源中，又出现在被举报的滥用来源情报源中，那么综合证据比任何一方单独都更强，因为两者的失效模式不太可能重合。好的评分系统通过三种方式体现这一点。
- 来源多样性。来自同一上游数据的两个列表，只是同一意见被计算了两次。独立来源的权重更大。
- 严重程度。因主动攻击而被列入，其权重高于因属于通用匿名化服务而被列入。不同类型的证据属于不同的风险类别。
- 时效性。证据会老化。每隔几小时刷新一次的情报源比静态文件更能反映当前状况，好的策略会让旧的观测逐渐淡出。
分数通常被划分为低、中、高和严重等档位，这比原始数字更自然地对应到行动。数值刻度只在单个系统内才有意义，因此在没有用你自己的数据校准之前，切勿拿一家供应商的分数与另一家的比较。
ipto 提供的内容
ipto 的滥用检查器会报告某个地址在各威胁情报来源中如何被看待，并将其浓缩为滥用评分和风险等级，其依据是多个情报源之间的交叉佐证，而不是任何单一列表。同样的信号在 IP 查询中以 is_abuser 标记出现，与 is_vpn、is_tor 和 is_datacenter 并列。威胁情报源每 6 小时刷新一次，IP 和 ASN 数据集每天刷新。你可以用任意地址试用 IP 滥用检查器，浏览底层的实时威胁情报源，或在滥用网络页面查看哪些网络得分最差。
有两点限制值得说明。第一，ipto 不检测住宅代理，因此经由消费级设备路由的流量不会带有代理标记。第二，信誉评分描述的是地址，而不是使用它的人。干净的分数并不意味着访问者值得信任，这就是为什么欺诈评分检查器会将 IP 信号与邮箱、电话和 User-Agent 证据合并为一个带有可见明细的 0 到 100 的分数。
把分数转化为决策
最常见的错误是把信誉当作封锁/放行的开关。更好的策略是分级响应：
- 低风险：正常放行。
- 风险升高：增加对诚实用户代价很小的摩擦，例如验证挑战、邮件验证或更低的速率限制。
- 高风险或严重风险：对支付或创建账户等敏感操作予以封锁，但可考虑允许只读浏览。
将分数与上下文结合。位于托管服务商网络中的被标记地址（可用 ASN 查询查看所有者），与位于住宅 ISP 地址段中的被标记地址表现不同，后者更可能的解释是单台受感染的设备或共享网关。为每个被封锁的请求记录分数和你的决策，定期抽样复查误报，并使用拒付和客服投诉等真实结果而不是直觉来调整阈值。
最后，给合法用户留一条出路。为被封锁的注册提供联系渠道或人工审核选项，就能把误报从流失一位客户变成可挽回的事件。