IP 归属与 ASN 核查
对可疑流量中的目的地址（或来源地址）做归属核查，可以回答“这个地址属于谁、在哪个运营商或云服务商、历史上是否被标记”。常用数据有三个层次：注册信息（RIR 的 whois，给出机构、网段与注册地）、路由信息（ASN 归属与宣告该网段的自制系统）、信誉数据（情报平台的历史标记）。核查的目的不是给地址贴标签，而是评估这次外联是否合理：业务主机访问与本行业务无关的云主机或陌生网段，才是需要解释的异常。
基本信息
| 适用平台 | 命令行环境（whois 工具、dig、openssl 等）与情报平台 |
|---|---|
| 数据来源 | RIR 注册库（whois）、BGP/ASN 数据、证书与反向解析、情报平台信誉 |
| 关键维度 | ASN、注册机构、网段用途（云或 IDC）、地理信息、历史信誉 |
| 辅助手段 | 反向 DNS、TLS 证书主题与签发者、历史解析记录 |
| 局限 | 地理库精度有限，CDN 与云前置地址会误导归属判断 |
典型使用场景
- 评估内网主机外联目标的合理性，判断是否为 C2 或数据外带目的地
- 按 ASN 聚合外联，找出集中指向同一云服务商的异常连接
- 确认地址是否为已知恶意基础设施，辅助事件定性
- 为封禁策略提供依据：按网段而非单个地址处置更有效
- 排查误报：确认看似异常的地址是否属于正常业务依赖的 CDN
查询与聚合
查询与聚合
# 单个地址的注册信息
whois 203.0.113.10 | grep -Ei 'org|country|netname'
# 查 ASN 归属与地址段
whois -h whois.cymru.com " -v 203.0.113.10"
# 反向解析与证书辅助确认服务类型
dig -x 203.0.113.10 +short
echo | openssl s_client -connect 203.0.113.10:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer
# 批量核查：按 ASN 或注册机构聚合连接数，再人工抽查离群目标
awk '{print $NF}' suspects.txt | while read -r ip; do whois "$ip" | grep -i 'orgname' | head -1; done | sort | uniq -c | sort -rn维度对照
| 维度 | 能说明什么 | 局限 |
|---|---|---|
| ASN | 地址由哪个运营商或云服务商宣告 | 共享空间大，同一 ASN 下有大量无关主机 |
| 注册信息 | 网段归属机构与注册地 | 注册地不等于实际使用地 |
| 云或 IDC 网段 | 常见的服务器托管环境 | 正常业务同样大量使用，不能单独作为恶意依据 |
| 历史信誉 | 该地址曾否被标记 | 信誉存在滞后与误标，需结合当下证据 |
| 证书与反向解析 | 服务类型与运营方线索 | 可被伪造或与业务无关较难解读 |
云主机与 IDC 网段不等于恶意：关键看这个目标与本机业务是否有合理关系，以及连接的时间与数据量是否异常。
CDN 与云前置会让归属信息指向服务商而非真实运营者，遇到解析多变或大规模共享地址时，要结合域名历史解析与证书信息综合判断。