對於許多剛接觸資安監控的工程師來說，分析 IP 位址通常是初步調查的第一步。我們習慣於查看 IP 的地理位置（Geolocation）或檢查它是否在黑名單（Blocklist）中。然而，現代的攻擊者早已不再單純地從一個固定 IP 發動攻擊，而是大量利用匿名基礎設施來隱藏身分。
根據 Spur Intelligence 的最新調查，高達 94% 的安全事件都涉及匿名基礎設施。這意味著，如果你還在依賴靜態的 IP 黑名單，你可能會錯過絕大多數的威脅。
什麼是匿名基礎設施
匿名基礎設施是指那些能讓流量在到達目的地之前，先經過中間層來隱藏原始來源的網路工具。最常見的包括：
VPN（虛擬私人網路）：攻擊者可以快速切換全球不同地區的 IP，讓防禦者難以追蹤其真實物理位置。
Residential Proxy（住宅代理）：這是目前最棘手的威脅。攻擊者租用真實家用寬頻用戶的 IP 位址來傳輸流量。對企業防火牆來說，這些流量看起來就像是來自一般的家用網路用戶，而非資料中心或伺服器，因此能輕易繞過許多基於 IP 類型的過濾規則。
為什麼傳統的 IP 分析方法失效了
過去我們認為 IP 具有一定的信譽值（Reputation），但現在這個邏輯改變了。住宅代理讓惡意流量與正常用戶行為混在一起。一個 IP 可能在十分鐘前還是正常的家用網路，十分鐘後就變成了帳號盜用（Account Takeover）的跳板。
這導致了所謂的上下文缺失（Context Deficit）。僅知道 IP 位於哪個城市或屬於哪個 ISP（網路服務供應商）已不足夠，工程師需要知道的是這個 IP 的屬性：它是一個商業 VPN 嗎？它是否屬於住宅代理網路？它最近是否有異常的行為模式？
從被動反應轉向主動決策
目前大多數團隊的作業流程是反應式（Reactive）的。也就是說，系統先發出警報，分析師才去查詢該 IP 的詳細資訊來進行調查。這種做法雖然有用，但時機太晚。
實務上，我們應該將 IP 情資（IP Intelligence）前移到決策流程中，實現主動式（Proactive）防禦。例如：
適應性認證（Adaptive Authentication）：如果系統偵測到登入請求來自已知的住宅代理 IP，即使密碼正確，也可以強制要求更高強度的多因素驗證（MFA）。
風險基於的存取控制（Risk-based Access Control）：根據 IP 的風險評分即時調整權限，而非採取全開或全關的二元做法。
自動化策略執行：將 IP 分類直接整合進防火牆或 API 閘道，自動攔截高風險的代理流量。
被忽視的內部風險
除了外部攻擊，匿名工具在公司內部也帶來風險。許多員工在公司設備上使用個人 VPN 或代理工具，這會造成安全盲區。
在零信任（Zero Trust）架構中，我們不能假設內部設備或已知用戶就是安全的。如果一名員工的設備被植入惡意軟體，且該軟體透過住宅代理與外部 C2 伺服器通信，傳統的周邊防禦將完全失效。因此，監控內部網路中異常的代理流量同樣至關重要。
如何衡量 IP 情資的成效
很多團隊在導入 IP 情資工具後，習慣用攔截了多少個 IP 來衡量成效，但這對業務沒有實質意義。更成熟的衡量指標應該關注於營運效率：
調查時間（Investigation Time）：分析師判定一個 IP 是否惡意所需的時間是否縮短？
誤報率（False Positives）：是否減少了將正常用戶誤判為攻擊者的情況？
成本降低：透過自動化過濾，是否減少了人工審核警報的壓力？
總結與展望
未來的 IP 分析將不再追求數據的量，而是在於上下文的質。安全團隊必須從單純的偵測（Detection）跨越到決策（Decision）。當匿名基礎設施成為攻擊者的標準配置時，能快速識別 IP 背後的基礎設施類型與意圖，才是有效防禦的關鍵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。