安全运营与溯源的必修课：一次DDoS/爬虫事件里，为什么你离不开IP地址段查询？

IP地址段查询经常被误用成“查一个IP的归属地”。但在安全运营的真实现场（DDoS、爬虫、撞库、接口滥用），你很快会发现：

• 攻击IP会不停变化，单IP拉黑追不上。
• 你真正需要的是：把“散点IP”还原成“来源段”，再决定封禁粒度。

下面用一个典型排障案例，把IP地址段查询怎么用、怎么用对讲清楚。

场景：告警来了，但IP很散，怎么快速收敛到“可操作对象”？

假设你是安全运营或SRE，同一时间收到告警：

• 某个API接口QPS异常飙升。
• WAF命中率升高，但拦不住全部。
• 日志里出现大量不同IP，分布在多个国家/城市。

如果你只做“逐个IP查询”，会遇到两个问题：

• 速度慢：TopNIP很快就从100个变成1万个。
• 不稳定：黑产/代理池会不断换IP，但往往仍在同一个机房/同一ASN/同一批网段里活动。

此时正确动作是：先把“散点IP”聚合成“段”，再做溯源与处置。

第一步：把Top攻击IP聚合到“段”

目标不是“查得更细”，而是“把可疑流量收敛成少数几个可解释的对象”。常见做法有两种：

• CIDR聚合：把IP按/24、/20（IPv4）等前缀聚合，看集中度。
• 起止段归并：通过IP地址段查询拿到段（start-end），再按段统计命中次数。

小经验：先用一个较粗的聚合粒度快速看集中度（例如/24），再对Top段做更细的段查询与画像补全，能更快形成处置方案。

第二步：把“段”变成“可解释的来源画像”（决定封不封、封多大）

对安全运营来说，“封禁”不是终点，可回滚、可解释才是。

你通常需要从段查询结果里抽取这些维度：

• 段归属：CIDR或start-end
• ASN/ISP：是否同一自治系统/运营商
• 网络类型：家庭宽带、企业专线、数据中心、云厂商
• 代理特征：是否疑似代理池（如果有）

图2：IP段画像决策分析表

网段/聚合粒度	命中占比	来源画像（ASN/网络类型）	风险判断	建议动作
/24段A（示例）	42%	数据中心/同ASN	高度可疑（集中度高）	WAF规则拦截+观察30分钟
/24段B（示例）	18%	疑似代理池	可疑（换IP频繁）	挑战（验证码/JS）+限流
/24段C（示例）	12%	家庭宽带/多ASN	可能误伤	只限流，不做整段封禁

第三步：封禁粒度怎么选？别只用“越大越好”

封禁粒度通常有四档（从轻到重）：

• 单IP：最安全，但对代理池无效。
• /24（或等价起止段）：常用，命中高、误伤可控。
• 更大网段（/20、/16）：命中更高，但误伤风险急剧上升。
• ASN级策略：适合明确的机房/云厂商攻击，但必须配合灰度与回滚。

一个可操作的决策逻辑是：

• 集中度高+同ASN+数据中心/代理特征明显→先/24拦截，再视情况扩大。
• 集中度一般+画像混杂（家庭宽带/多ASN）→不做整段封禁，改为挑战/限流。
• 业务关键路径（支付/登录）→更谨慎，优先验证而非直接封禁。

排错清单：为什么你“按段封了”还是不生效？

常见原因有三类：

• 取IP口径不一致：拿到了CDN/WAF出口而非真实客户端IP。
• 攻击在多段游走：只封一个/24不够，需要段聚合看TopN段。
• 误伤压力导致策略回退：缺少灰度、缺少回滚点，导致不敢封大。

建议把以下字段写入安全日志，便于复盘与回溯：

• client_ip、forwarded_chain、ip_source、ip_version
• cidr/start_end、asn、network_type
• action（挑战/限流/拦截）与policy_version

所以在面对DDoS/爬虫这类“IP快速变化”的攻击时，IP地址段查询的价值在于把散点还原成段，把段还原成来源画像，最后把画像变成可灰度、可回滚的封禁策略。只要你的段聚合与决策链路跑通，封禁会从“被动追IP”变成“主动控范围”。