IP 信誉库怎么用
IP 信誉库按来源地址的历史行为分级（可信、可疑、恶意等），设备在连接建立阶段就能对已知恶意源采取措施，不必等特征匹配命中，对扫描器和已知坏源成本低、见效快。但它判断的是「地址」而不是「行为」，公共出口、运营商地址池、CDN 与代理是误伤重灾区，所以动作分级与观察期是必备环节。
基本信息
| 信誉来源 | 设备内置信誉库、厂商情报订阅、云端查询 |
|---|---|
| 动作分级 | 高信誉等级阻断，中等级限速或仅告警 |
| 典型场景 | 互联网服务入口、邮件系统、对外发布区 |
| 误伤风险 | 公共出口、代理、CDN 与运营商地址段 |
| 上线方式 | 先告警观察命中，核对是否误伤正常用户 |
| 维护动作 | 定期复核信誉库更新状态与命中统计 |
典型使用场景
- 对外服务入口大幅减少扫描类噪声
- 邮件系统抵御来自已知恶意源的连接尝试
- 与封锁名单联动，快速处置持续攻击来源
- 评估新采购情报订阅的实际价值与误伤率
- 事件处置时快速确认来源是否为已知坏源
配置要点
配置要点
1. 先以告警模式观察信誉命中情况 # 观察
2. 核对正常用户与合作伙伴是否被误标 # 误伤核对
3. 对高信誉等级启用阻断，低等级保持告警 # 分级处置
4. 把重要业务来源加入白名单并记录原因 # 例外管理
5. 定期复核信誉库更新状态与命中统计 # 维护信誉分级与动作建议
| 等级 | 建议动作 | 注意事项 |
|---|---|---|
| 高（已知恶意） | 直接阻断 | 注意出口地址共享带来的连带影响 |
| 中（可疑） | 限速、加验证或仅告警 | 观察一段时间再决定是否阻断 |
| 低（可信） | 放行 | 仍受常规策略与特征检测约束 |
| 未知 | 按默认策略处理 | 不要默认放行全部未知来源 |
信誉库对 CDN、公共出口与运营商地址误判较多，启用阻断前用本环境业务流量验证一遍。
把公共出口或代理地址段整体阻断，可能误伤大量正常用户；确需阻断时先评估访问来源分布。