可疑 IP 调查指南
如何调查可疑 IP 地址：声誉、地理位置、被动 DNS、端口/服务态势以及关联基础设施。
快速解答
调查可疑 IP 时，先对照已知威胁数据检查声誉信号、其 ASN/地理位置与托管类型、被动 DNS 与域名的关联，再枢纽到其他基础设施，最后决定阻断或追踪。
定义
针对可疑 IP 的调查程序：综合声誉、地理/ASN、被动 DNS 与关联基础设施数据来判断其恶意程度。
目标
判断 IP 是否是恶意活动的可能来源、组成部分或目的地——依据证据，不做无根据臆断。
前置条件
- 可疑 IP；声誉/批量数据（ASN、地理位置、托管类型）；被动 DNS/历史记录。
证据收集
- 声誉：对照 OpenTrojan 与威胁情报 IOC 数据检查该 IP（
guides:tool-ip-guide、guides:tool-ioc-guide）。 - 托管上下文：ASN、地理位置、数据中心 vs 消费者/云网段——租用的 VPS/C2 是危险信号。
- 被动 DNS：哪些域名解析到该 IP；仿冒/钓鱼域名是强信号。
- 行为：开放端口、协议、证书/历史记录，以及任何公开报告。
指标
- 已知恶意哈希相关或 C2 基础设施归属；快速轮换托管（T1071/T1573）；同一 IP 上注册时间较新的域名。
验证
- 在判定为恶意之前，关联 ≥2 个独立信号（声誉命中 + 被动 DNS 恶意域名 + 托管类型）；仅在流量中看到的裸 IP 保持不确定。
调查
由 IP → 域名（被动 DNS）→ 证书 → 其他 IP/ASN → 邮件/网络指标 → 关联活动进行枢纽（见 guides:suspicious-domain-investigation）。
决策
- 强关联则阻断/追踪；不确定则监控；良性流量则不处理。
遏制与缓解
- 在防火墙/过滤器中为已确认的 C2 IP 添加拒绝规则；将任何匹配的端点升级至响应流程（
security:network-security）。
参考资料
- MITRE T1071 / T1573；IANA 如所列。