引入IPv6风险识别能力 永安在线推出IP风险画像2.0版本

IP是互联网最基础的身份标识，也是黑灰产业发展不可或缺的底层资源支撑，支持着恶意注册、刷量、薅羊毛、撞库、爬虫等恶意行动的顺利进行。永安在线与2019年发布的IP风险画像产品1.0版本，自推出以来，已有效帮助各行各业的众多客户及时、精准地发现业务流量中的IP风险。

近日，永安在线正式发布了其IP风险画像产品的2.0版本，引入IPv6风险识别技术等核心能力，从产品能力和使用体验上都进行了升级。

能力升级

1.IPv6风险识别能力——此次2.0版本最核心的技术能力

随着企业的更多业务从IPv4迁移到IPv6，基于IPv4的攻防战场势必会向IPv6转移。IPv6地址空间几乎接近无限，被十分形象地称为可以为全世界的每一粒沙子分配一个地址，这意味着黑灰产掌握的IP资源体量也将无限扩大，而当下业界基于黑名单库的检测方式在IPv6风险检测上完全失效。

永安在线通过对IPv6地址分配规律以及大量IPv6黑产数据的分析研究，总结出风险IPv6的行为规则，形成一套精准有效的IPv6风险识别算法，帮助企业精准检测出业务流量中IPv6流量在活跃时间内的风险值。

这背后是因为永安在线全面覆盖各大秒拨平台开放IPv6资源地区的蜜罐监测系统，包含20+省、100+市区的秒拨资源。

目前这套算法已在几个头部客户的业务场景进行测试，黑样本识别率能达30%-35%，黑样本流量集中在Top8城市，均在监测的地区范围内。

2. IP判分规则引入更有效的判分维度

过去的两年多时间，永安在线始终关注一个问题：

如何让IP风险检测实现更低的误判率和更高的识别率？

虽然IP风险画像1.0版本已经实现在误判率<0.6%的情况下，风险IP能达到35%-85%的识别率，可以帮助客户精准地检测出业务流量中的绝大部分风险IP，但网络攻防本身是一场“非对称战争”，只有不停地进行技术进化、策略升级，才能与之相抗衡。在IP风险识别能力的探索上，永安在线从未停止脚步。

从永安在线的蜜罐监测系统捕获到的大量黑产IP的类型来看，目前黑产使用IP主要是通过秒拨技术获取的家庭宽带类型IP，也就是说家庭宽带类型的IP已成为黑产主流使用的IP资源。

基于此，2.0版本的IP判分规则引擎引入“IP类型”这一更有效的判断维度，并结合永安在线对黑产使用IP资源的特征研究以及对大量业务数据的分析，来整体判断IP的风险情况。

经测试，升级后的IP风险画像产品在IP风险识别的误报率上减少了1倍，同时识别率整体提高了5%。

体验升级

1. 支持IP历史风险信息查询

过去，基于企业对及时、准确检测当下流量风险的需求，主流IP风险画像产品只需提供IP实时风险数据库。但随着企业离线流量审计、历史数据清洗等场景增多，对IP历史风险信息的需求越来越多。

永安在线IP风险画像2.0版本除了能提供IP实时风险数据库，还支持查询IP一个月内的IP风险信息：

客户只需在风险分数实时计算SDK输入IP和相应时间进行查询，该SDK会根据IP基础信息和历史风险标签，并通过IP风险判定规则引擎快速输出IP在该时间点的风险信息。
 

此外，IP风险画像2.0版本可以提供历史所有风险IP的基础信息。

这一升级，除了可以满足部分客户离线流量审计、历史数据清洗等场景，还能让客户对IP流量的风险概况有更全面的感知。

2. 开放风险阈值分析工具

从客户业务场景来看，不同客户会有不同的业务场景，即使是同一个客户也有多个业务场景。显然，对所有的业务场景都使用同一套IP风险判分标准是不合适的。

永安在线开发了一个可根据不同业务场景自动计算合理风险阈值的工具——IP风险阈值分析工具，帮助客户根据不同业务流量设置不同风险分数阈值。客户可直接导入不同业务场景的IP数据黑白样本，该工具会自动查询相应结果，并通过对测试结果进行分析，自动生成可下载的测试分析报告。

报告里提供了高风险分数阈值的建议数值，客户可直接根据报告建议为不同业务场景配置合适的风险阈值。
 

报告建议：当风险分数在91分时，对应的识别增长变化率达到最高，说明后续识别增长趋势缓慢，可选择这个分值为高风险判断的阈值。所以建议使用风险分数标准为：高风险：100＞x≥91，中风险：91＞x≥70，低风险：70＞x≥10，无风险：10＞x。

写在最后

2.0版本的升级能更好地满足企业在不同业务场景下的安全需求，尤其是IPv6风险识别能力的发布弥补了当下IPv6风控防护的空白。我们相信，当企业有足够能力识别和对抗IPv6相关的流量风险，那么，黑产凭借IPv6海量特性在互联网业务安全对抗中占据优势地位的局面将会被打破。

据了解，永安在线会将以上所有的升级服务向新老客户免费开放，可通过下方二维码申请试用：