一、命中代理之后，要不要拦截？
假设一个登录请求通过了密码校验，来源 IP 命中代理标签。系统据此拒绝登录，理由看起来很充分，但还有几个问题没有回答。
用户是否一直通过这个企业出口办公？这次访问与历史设备、会话是否一致？代理标签是在什么时候观测到的？当前请求有没有异常行为？
如果这些信息都没看过，封禁依据就只有网络出口的一个属性。
IP 标签对风控有用，但它描述的对象与业务要判断的对象并不完全一致。标签通常落在 IP 上，处置却落在账号、会话或请求上。一个公网 IP 后面可能有多位用户，同一个用户也可能在移动网络、家庭宽带和企业网络之间切换。
反过来，未命中代理或风险标签，也不能证明请求安全。检测可能存在覆盖缺口，攻击者还可能使用此前没有风险记录的地址。
本文给出一套设计思路。文中的场景与规则均为示意，不代表客户案例或产品实测结果，也不提供可以直接套用到所有业务的风险阈值。
二、把网络属性、风险情报与业务行为分开
接入 IP 数据时，容易出现的一个问题是把不同含义的字段都折算成分数，再直接相加。这样虽然容易实现，却可能重复计算同一类证据，也很难解释分数为什么变高。
更稳妥的做法是先区分信息来源。
网络属性回答访问来自什么环境。家庭宽带、移动网络、企业专线、数据中心，以及运营商、ASN 等信息，可以帮助系统理解访问背景。企业出口出现多个账号并不意外，不能沿用单个家庭用户的账号数量阈值。家庭宽带也不能作为安全白名单，住宅网络同样可能承载自动化访问。
风险情报回答该地址有哪些已知线索。代理类型、历史风险标签、风险评分等可以提高调查优先级，但需要保留来源、时间和字段定义。风险评分若没有经过概率校准，就不能解释成当前用户作恶的概率。
业务行为回答当前请求正在做什么。注册流程是否异常重复，登录失败是否集中发生，是否出现跨账号的相似操作，会话是否延续了正常使用习惯，这些信息需要业务自身提供。
三类信息应当组合使用。例如，代理标签单独出现时，证据不足；若又出现批量注册行为，并伴随验证异常，就有理由提高验证强度。即便如此，也应记录各项证据，避免把同源、强相关的标签当作多个独立风险重复加分。
注册与登录还要分别处理。注册没有成熟的账号历史，需要更多依靠流程行为；登录可以参考既有账号与会话信息，但密码正确、设备熟悉都不能单独排除账号被盗。
三、接入 IP数据要先了解返回字段有哪些
注册与登录场景可以使用以下几类数据。
- IP代理识别提供是否代理、代理类型及代理时间等信息，公开类型包括 tor、vpn、proxy、relay。
- IP应用场景提供运营商、ASN 和网络场景信息，包括家庭宽带、移动网络、企业专线、数据中心等类型。
- IP风险画像提供风险等级、风险评分、风险标签，以及秒拨概率、真人概率等参考特征。
这些产品用于补充网络侧信息。账号历史、会话连续性和当前行为仍由业务系统采集，最终处置由业务策略决定。
建议用适配层将供应商响应整理为内部对象。
字段设计中，not_detected 与 unknown 必须区分。前者表示本次查询没有检出，后者表示缺失、失败或无法判断。两者都不应被翻译成「已确认安全」。
风险画像中的真人概率、秒拨概率也应保留原始含义。不能据此宣称已经验证当前用户的身份，或确定当前 IP 正由黑产控制。
取对客户端 IP，比多接几个标签更重要
如果业务经过 CDN、负载均衡或反向代理，应用直接看到的可能是中间节点地址。读取转发头时，需要依据已配置的可信代理链解析，不能无条件采用客户端传入的 X-Forwarded-For 首项。
对非可信来源提交的转发信息，应按入口策略忽略或拒绝。解析完成后，再处理 IPv4、IPv6 的表示规范、无效地址及地址类别。设备关联标识也需要明确来源与可信度，不能把任意客户端字符串当成可靠设备身份。否则，后面的风险模型可能一直在评估错误的地址。
四、给情报加上时间边界
动态地址分配和共享出口，使历史风险标签很难永久对应某个用户。某地址过去出现过异常，不足以说明当前使用它的请求同样异常。
工程上至少要区分三个时间概念。
事件发生时间属于业务日志；情报观测时间属于数据来源；查询时间只是系统何时拿到了结果。刚刚查询到的数据，可能仍然来自较早的观测。API 响应速度快，也不代表情报更新得快。
对于有明确观测时间的字段，可以按业务容忍度配置有效期；对于没有观测时间的字段，应标记时效未知，降低其在强处置中的权重。不能为了让计算流程完整，就用查询时间补成观测时间。
不同字段也未必适用同一个缓存周期。网络归属信息和短期风险信号的变化速度可能不同，缓存需要结合供应商更新机制与业务验证结果设置。
地址关联统计同样需要时间窗口。「这个 IP 历史上登录过多少账号」与「这个 IP 在当前窗口内尝试了多少账号」不是同一个特征。若将长期累计账号数用于即时封禁，共享网络会持续累积风险。
五、把命中结果映射到不同处置
一个可用的策略不应只有放行与封禁两个出口。更细的动作能让系统在证据不足时继续收集信息，也能减少一次判断失误的影响。
可以先设计四类处置。
保持现有认证并记录。只有单个网络标签，当前行为没有明显异常时，不额外施加 IP 驱动的阻断。这里的「保持」不表示跳过密码、验证码或业务原有控制。
增加验证。网络线索与部分行为异常同时出现时，按场景要求用户完成额外验证。登录可使用已绑定的认证因素；注册可增加流程验证和资源限制。验证本身也需要控制重试与发送成本。
限频并调查。出现持续异常或关联活动时，优先作用于有证据支持的会话、设备关联对象或业务操作。确需出口级限频时，应单独评估共享网络影响，避免把一个可疑请求扩大为整个出口的永久限制。
临时阻断或限制敏感操作。存在足够强的独立业务证据时执行，同时记录依据、到期时间和恢复条件。不能只因命中代理标签就永久封禁账号。
下面的伪代码说明判断顺序，省略了特征构造、具体阈值与认证细节。它不能直接替代生产规则。
强风险证据的判断放在情报故障之前，是为了防止外部查询超时遮蔽业务侧已经发现的问题。降级也不能等于一律放行或一律拒绝。普通登录与修改认证方式等敏感操作，可以采用不同的故障策略。
六、上线前，先检查四种边界场景
与其先争论某个风险分数应该设多少，不如先检查策略能否正确处理容易误判的请求。以下均为设计测试用例，没有附带实测效果。
共享出口下的正常登录
多个账号通过同一企业出口登录，账号各自保持正常会话，没有异常的失败尝试。预期结果是保留基础认证，不因出口聚合账号数较多而直接批量封禁。若其中一个会话异常，应尽量缩小处置范围。
动态 IP 命中历史标签
当前请求命中一条已经超出有效期的风险线索，业务行为暂未发现异常。预期结果是保留历史线索供调查，但不能将它当作当前强风险证据，也不能因重新查询而让旧标签自动恢复新鲜度。
代理标签叠加异常注册行为
网络情报有效，注册流程又出现重复操作、验证异常等信号。预期结果是增加验证和必要限频，并观察后续行为。即使请求完成一次验证，也不应自动获得长期豁免。
查询超时或字段缺失
外部情报不可用，账号登录行为仍需评估。预期结果是走显式降级分支，保留本地规则；如果本地已有强风险证据，仍应执行相应控制。不能把空结果解析成低风险。
这些用例验证的是规则边界。要证明策略比原方案更好，还需要真实业务数据。
七、评估误报时，别只看拦截量
拦截数量增加，可能来自识别能力提升，也可能只是规则变严。单独观察这个数，无法判断方案是否有效。
可以先做离线回放，再进入影子运行。基线使用现有策略，候选方案增加网络场景、时间状态与分层动作，在同一批授权、脱敏的数据上比较。
回放时必须使用事件发生当时可获得的信息。拿今天的风险库补查过去的事件，再当作当时就能命中的结果，会引入未来信息，夸大策略效果。没有历史快照时，应明确限制，优先通过后续影子运行积累证据。
对于有独立标注的样本，可以观察以下指标。
- 误报率为 FP / (FP + TN)，衡量正常样本被判为风险的比例。
- 精确率为 TP / (TP + FP)，衡量被判为风险的样本中有多少确实异常。
- 召回率为 TP / (TP + FN)，衡量已知异常样本中有多少被识别。
统计单位也要固定。按请求计算的指标不能直接与按账号计算的指标比较，注册与登录应分别统计。分母为零或缺乏可信标注时，不输出看似完整的百分比。
业务标注不能直接来自待评估的 IP 标签。用标签认定恶意，再用同一个标签识别恶意，结果再好也不能证明识别效果。验证码通过不必然正常，验证失败或放弃也不必然恶意，需要结合独立业务证据和复核。
除了分类指标，还应观察正常用户验证触发率、完成率、登录耗时、申诉及复核结果。再按家庭宽带、移动网络、企业出口等分组检查，避免总体指标掩盖某一类网络的集中误伤。
只有合成样本时，可以报告边界用例是否符合预期，不应声称降低了多少误报，或者拦截了多少真实攻击。
八、每次限制，都应能解释和撤回
IP情报接入后，留存数据不必越多越好。账号、设备和 IP 的关联信息应限定用途、权限与保存期限；查询数据源时，只传入完成服务所必需的信息，避免把整段登录日志或用户资料一起发送。
决策日志至少需要解释这次限制使用了什么线索、线索是否有效、命中了哪版规则，以及用户如何恢复正常访问。对于临时限制，设置到期与复核机制；对于规则升级，保留回滚能力。
下一次看到代理标签，先检查这条情报的时间和含义，再看当前会话发生了什么。若仍不足以解释一次封禁，就不要让这个标签独自决定用户能否登录。
九、IP数据云如何为注册与登录风控补充判断依据
围绕注册与登录中的网络风险判断，IP数据云提供代理识别、应用场景和风险画像等数据，帮助企业在已有账号与行为分析之外，补充访问来源的判断依据，主要覆盖以下三个方面。
- 识别代理与异常网络线索。通过 IP代理识别提供是否代理、代理类型等信息，并结合风险画像中的秒拨概率、风险标签等特征，为批量注册、异常登录等场景提供排查线索。企业可以据此筛选需要进一步分析的请求，再关联账号和会话行为进行判断。
- 区分网络使用场景。通过 IP应用场景识别家庭宽带、移动网络、企业专线、数据中心等网络类型，并提供运营商、ASN 等信息。风控团队可以按网络场景设置不同的观察口径，尤其是在同 IP 多账号场景下，结合共享出口的使用特点评估风险，减少仅凭账号数量触发限制的情况。
- 为分层策略提供风险特征。通过 IP风险画像提供风险等级、风险评分及风险行为标签等信息，供企业与登录失败、注册频次、验证结果等业务特征组合使用。数据可按所选产品与交付方案，通过 API 或离线库接入现有风控流程，具体字段与更新周期以实际服务约定为准。
在业务应用中，我们建议将这些数据用于不同强度的处置，而不是统一转成封禁名单。
对于注册场景，可以将代理、秒拨等网络线索与重复注册、流程异常、验证异常结合，对可疑请求增加校验或限频；对于登录场景，可以关联账号历史、会话连续性及失败尝试，决定是否触发额外认证或临时限制。遇到企业专线、移动网络等共享出口，应优先分析其中的异常账号与会话，谨慎扩大到整个 IP。
IP数据云提供网络侧的风险线索，业务系统结合自身证据完成处置。接入后的效果，应通过规则回放、影子运行和误报复核持续验证，让每一次增加验证或限制访问，都有可追溯的依据。
发表评论
您还未登录，请先登录。
登录