IP 黑名单
本文约需 2 分钟阅读
IP 阻断列表 (IP Blocklist) 是指登记已确认存在恶意活动的 IP 地址，并自动拒绝来自这些地址访问的列表。通过将其纳入防火墙或 WAF 的规则，可以在入口处阻断来自已知攻击源的通信。截至 2025 年，通过与威胁情报源自动联动、实时更新阻断列表的运维方式已变得普遍。
现场使用案例
“遭受 DDoS 攻击时，我们将攻击源的 IP 地址段 (/24) 添加到 WAF 的 IP 集中，立即予以阻断。同时从威胁情报源获取相关 C2 服务器的 IP 列表，预防性地添加到阻断列表中。”
阻断列表的种类
公开阻断列表 (如 Spamhaus 、 AbuseIPDB 等) 是在社区中共享垃圾邮件发送源和恶意软件分发源 IP 地址的服务。商用威胁情报源提供精度更高的 IP 信誉信息。自有阻断列表是将自家日志分析检测到的攻击源 IP 独立登记，与 SIEM 联动自动更新的运维方式较为有效。
| 种类 | 登记的 IP | 更新方式 | 典型用途 |
|---|---|---|---|
| 公开阻断列表 (Spamhaus 、 AbuseIPDB 等) | 垃圾邮件发送源和恶意软件分发源的 IP 地址 | 参照社区共享的列表 | 在邮件服务器上作为 DNSBL 比对并拒收 |
| 商用威胁情报源 | 精度更高的 IP 信誉信息 | 通过自动联动实时更新 (截至 2025 年的常见运维) | 预防性阻断相关 C2 服务器的 IP |
| 自有阻断列表 | 自家日志分析检测到的攻击源 IP | 与 SIEM 联动自动更新 | DDoS 攻击时把攻击源 IP 段 (/24) 加入 WAF 的 IP 集 |
运维场景
当检测到针对 Web 服务器的 DDoS 攻击时，将攻击源的 IP 地址段添加到阻断列表，立即予以遮断。在邮件服务器上，将垃圾邮件发送源的 IP 与基于 DNS 的阻断列表 (DNSBL) 进行比对，拒绝接收。在云环境中，结合 AWS WAF 的 IP 集和 CloudFront 的地理限制，还可以进行以国家为单位的访问控制。将 DNS 安全与 IP 阻断列表并用，可实现多层次的防御。
运维注意事项
IP 阻断列表最大的课题是误报 (假阳性)。如果阻断了共享 IP 地址 (NAT 环境、 CDN 、 VPN)，会连正规用户也一并殃及。阻断列表需要定期复查，删除不必要的条目。此外，由于攻击者会频繁更换 IP 地址，因此不要仅依赖阻断列表，应与速率限制及行为分析相结合。用强随机密码保护防火墙的管理控制台也很重要。
这篇文章对您有帮助吗？