产品说明书

一. 概述

1.1 背景

IP作为互联网空间中最基础的身份标识，一直以来都是黑产与甲方争夺对抗最激烈的攻防点。黑产为了绕过风控策略，大量使用代理服务和秒拨技术频繁更换IP进行批量恶意行为已成黑产作恶常态。由于IP属于公共资源，贸然处置异常IP有可能损害正常用户的体验，因此使得风控防守响应滞后，效率和效果大打折扣。

此外，随着IPv6的普及应用，黑产也运用IPv6这一底层资源，并凭借IPv6数量庞大的特性，在互联网业务安全对抗中占据优势地位。

1.2 产品介绍

威胁猎人IP风险画像产品基于大数据算法和完善情报监测体系，结合IP类型、捕获与请求时间差、正常用户关联情况等维度，对风险IP的全生命周期动态赋分，支持对IPv4和IPv6协议的恶意IP精准识别，并同步给企业用于业务场景下的风险审计，能够实时的判断IP的相关属性。

二. 产品功能

• 支持IPv6协议IP风险识别 威胁猎人基于长时间对黑灰产使用IPv6攻击的研究和大量数据的测试，目前已形成整套完整的针对IPv6风险识别算法。
• 实时更新IP风险等级 基于大数据算法，对黑产IP的全生命周期动态打分，实时判定IP风险等级。
• 风险IP精准溯源 提供代理、秒拨、开源情报等多种风险标签，对IP进行风险解释。
• 提供风险IP基础信息 包含风险IP的IP类型、地理位置 、运营商归属等基础信息。

三. 产品字段说明

data内容字段说明

参数	说明	详细描述
ip	IP地址	所查询的IP
exist	是否在历史风险库中	true表示在历史风险库中，false表示不在库中
type	IP类型	IP类型包含以下6个类型： 家庭宽带：此类IP被普通的住宅用户使用，通常覆盖多个小区 数据中心：此类IP被IDC公司或运营商在数据中心使用 移动网络：此类IP被3G/4G/5G等手机移动网络的网络出口IP 企业专线：此类IP一般被企业使用，覆盖范围为企业所处区域 校园单位：此类IP被学校单位使用 未知：未识别的ip类型
location	位置信息	国家 省份 城市 区县 IP所属AS的注册机构 纬度 经度 行政区域编码 大洲
score_tag	最近一次风险标签及捕获时间	用于计算分数的风险标签 风险标签包含以下8个类型： 代理：该IP在该时间点被网络黑产作为代理IP使用。 秒拨：该IP在该时间点是网络黑产提供的秒拨IP资源（秒拨IP指，黑产利用家庭宽带拨号在一定时间内持有作恶的IP）。 开源情报：从开源渠道收集记录的被公开风险信息的IP。 劫持共用代理：指的是代理平台传播各种带有后门木马的软件，正常用户下载使用了这类包含木马的软件后，自己的IP就会被软件暗中劫持，变为代理平台可利用的代理IP资源，这类型的IP为好人坏人同时在进行使用。 搜索引擎爬虫：指的是各大搜索引擎网站对网站进行蜘蛛爬取时所使用的IP。 VPN：指的是VPN软件使用的静态代理IP资源，和秒拨代理的区别在于VPN使用的静态代理IP多为机房IP，且变化不频繁，数量少，而秒拨代理使用的多为家庭宽带类型IP，变化频繁、数量多。 云服务：指的是各大云服务器厂商提供的云函数SCF出口IP，有部分黑产会在云厂商提供的云函数中搭建恶意脚本执行攻击，但也有很多程序员在正常使用云函数服务，这类型的IP为好人坏人同时在进行使用。 云手机：指的是国内主流云手机服务平台提供的云手机服务中的IP，攻击者可能利用云手机的群控配置执行批量攻击，借此掩盖其真实源IP。 注：无风险标签时返回空字符串。
risk_score	风险分数	范围0-99，得分越高被黑产持有的概率也就越高
risk_level	风险等级	高、中、低、无
tags	最近一次风险标签及历史其他风险标签及时间	该IP的风险标签列表 风险标签包含以下8个类型： 代理：该IP在该时间点被网络黑产作为代理IP使用。 秒拨：该IP在该时间点是网络黑产提供的秒拨IP资源（秒拨IP指，黑产利用家庭宽带拨号在一定时间内持有作恶的IP）。 开源情报：从开源渠道收集记录的被公开风险信息的IP。 劫持共用代理：指的是代理平台传播各种带有后门木马的软件，正常用户下载使用了这类包含木马的软件后，自己的IP就会被软件暗中劫持，变为代理平台可利用的代理IP资源，这类型的IP为好人坏人同时在进行使用。 搜索引擎爬虫：指的是各大搜索引擎网站对网站进行蜘蛛爬取时所使用的IP。 VPN：指的是VPN软件使用的静态代理IP资源，和秒拨代理的区别在于VPN使用的静态代理IP多为机房IP，且变化不频繁，数量少，而秒拨代理使用的多为家庭宽带类型IP，变化频繁、数量多。 云服务：指的是各大云服务器厂商提供的云函数SCF出口IP，有部分黑产会在云厂商提供的云函数中搭建恶意脚本执行攻击，但也有很多程序员在正常使用云函数服务，这类型的IP为好人坏人同时在进行使用。 云手机：指的是国内主流云手机服务平台提供的云手机服务中的IP，攻击者可能利用云手机的群控配置执行批量攻击，借此掩盖其真实源IP。 注：无风险标签时返回空字符串。

四. 产品优势

• 高解释性

通过公网代理IP、秒拨IP的跳板蜜罐，监控黑产攻击的流量，从流量中抓取攻击IP。捕获的IP均来自于黑产使用的代理秒拨IP，对业务可解释性强。

• 高准确性

IP风险等级秒级更新，可实时判定风险，解决传统黑IP库不适用业务安全场景的问题，同时解决了IP更换使用者而带来的误判问题。

五. 应用场景

IP画像产品是为业务安全场景设计的，传统IP风险库无时间维度，无ADSL实时风险判断等。不符合业务安全场景的使用逻辑。威胁猎人IP画像解决了这一问题，对于恶意注册、撞库扫号、爬虫、羊毛党等场景都能够做到IP维度的恶意识别。

• 批量注册

描述：通过自动化脚本进行批量恶意注册，给后续引流、羊毛、刷量等行为供给账号。

使用建议：

如在拉新场景中，可对助力账号生产的IP进行风险频率限制。如：对多次命中高风险IP的账号进行处罚或在该账号提取奖励时进行短信验证码、语音验证码或身份证认证等“强身份验证”，确保活动奖励不被黑灰产套取。

• 薅羊毛

描述：通过伪造身份方式制造大量恶意账号，获取平台新人福利等权益。

使用建议：

对命中高风险IP的新账号进行恶意标记，结合自身风控进行分数累加、根据平台特性进行功能限制等。如在拉新场景中可对主账号邀请的账号进行命中高风险IP次数的累加记录。对多次命中的账号进行处罚或在该账号提取福利时进行重新收取手机号验证码、发送验证码、语音验证码或身份证认证等“强身份验证”。

• 爬虫

描述：抓利用爬虫脚本对平台上展示的商品价格等信息等内容进行自动化抓取。

对于高风险IP的流量请求，可触发图形滑块等验证方式 。因为爬取大量信息时需要多次切换IP，一旦黑产在爬虫中遇到风控验证，则要付出额外成本进行对抗，可有效降低恶意爬虫的效率。

• 恶意引流账号识别

描述：在社交平台上发布恶意引流、诈骗信息等。

对于命中高风险IP的注册账号进行风险标记，结合业务自身风控策略以及平台特性对风险账号进行功能限制。如社交平台面临的恶意引流问题，可限制风险账号发言频率，或进行强身份验证后才允许发言等。

六. 交付方式

目前，IP画像产品支持两种对接方式：

1、实时在线查询

API在线接入，上传IP与时间，系统实时返回对应IP的风险情况。

2、离线部署查询

客户不上传数据，通过对接API拉取实时的更新数据，在本地积累IP库，在本地请求完成IP的判分查询。