IP欺诈评分实战：从黑名单到智能风控的完整落地指南

凌晨两点，我盯着监控大屏上那条陡峭的曲线，后台的注册接口在半小时内涌入了三十万次请求，IP归属地清一色来自某个不小的机房网段。这已经是本月第三起针对新用户注册礼金的薅羊毛攻击了，而之前配置的黑名单策略在流量洪峰面前几乎处于裸奔状态。也是从那时候起，我意识到单纯依赖IP黑名单做静态拦截只是一个永无止境的打地鼠游戏，真正要解决问题，必须把视角从“这个IP是不是黑名单”升级成“这个IP的可信程度到底是多少”。这，就是IP欺诈评分的价值所在。

IP欺诈评分，简单粗暴地说，就是给每一个发起请求的IP地址打一个风险分，用0到100的连续数值替代原来非黑即白的二值判断。有了这个分数，风控系统就能像对待老朋友和陌生人一样区别对待流量：高分直接放行，低分进入人机校验、短信验证甚至直接拒绝，卡在中间地带的还能转给人工审核。这篇文章，我准备把这套从特征工程、模型训练到实时服务的完整链路掰开揉碎讲清楚，包括那些你写在生产代码里才会踩到的坑。适合正在搭建风控体系、跟黑产对抗的一线开发、算法工程师，以及所有想理解现代反欺诈体系如何运转的产品和业务同学。

1. 为什么黑名单不够用了：IP欺诈评分出现的必然性

1.1 黑产的工业化生产，逼着风控必须精细化

先聊点背景。黑产跟风控的对抗，本质上是一个成本博弈问题。早期的黑产是“作坊式”的，几个懂技术的人手动注册一批账号，用的IP也就是自己家的宽带、机房的一个跳板，数量级在一百到一千左右。这个阶段，黑名单很好用，发现一个封一个，把已知的代理IP、IDC机房段拉黑，就能挡住大部分攻击。

但今天的黑产已经实现流水线作业。你去看那些被打掉的“养号工作室”，一台服务器上跑着几十个虚拟机，每个虚拟机里还挂着不同的浏览器指纹，配合从各种渠道收购的动态代理IP池，可以做到让几千个账号的IP看起来完全正常。他们的IP资源规模，动辄是几十万甚至上百万的量级。我自己接触过一个做营销活动风控的朋友，他们活动上线当天被刷了八十万次点击，事后回溯时发现攻击方在一天之内轮换了将近六十万个不同IP。面对这种量级的资源池，你靠人工去维护一个黑名单库，刚拉黑一百个，人家已经换了十万个新IP出来，根本没有胜算。

更麻烦的是，黑产还会“驯化”IP。什么意思呢？他们买下一批长期稳定的代理IP，先用来做一些正常的搜索、浏览、看视频、刷电商的行为，把IP的“信誉值”养起来。养熟了之后再用这批IP来干坏事。如果风控系统只看IP在不在名单里，这批被“洗白”过的IP就完全隐身了。这时候，只有把IP当成一个有历史、有行为的实体，做连续的、多维度的风险评估，才能透过伪装看到本质。

1.2 静态规则的三个致命短板

传统风控系统里的IP黑名单，还有基于IP的频次控制，有几个绕不开的硬伤。

第一个短板是滞后性。黑名单逻辑永远是“先出事，再拉黑”，攻击已经造成了损失，你才后知后觉地补上一个名单。等到你把名单同步到所有边缘节点，黑产早就换了一批IP了。这就好比你家被偷了才想起来装防盗门，但小偷下次是从窗户进来的。

第二个短板是误杀率高。黑名单和频控的逻辑非常粗暴，同一个IP在短时间内注册了三个账号就限制，同一IP一天登录了十个账号就冻结。但现实情况是，很多学校、公司、商场，出口IP是共享的。我见过一个真实的案例：某个高校的办公网段因为一个学生用了群控软件刷单，整个网段都被某个风控系统标记成了高风险，结果全校几百个正常师生在登录某家平台时全部被要求二次验证，体验极其糟糕。这种误伤引发的客诉和用户流失，是很多业务方没法接受的。

第三个短板是不可解释性差的“无脑关联”。不同IP之间其实存在关联关系，同一个黑产团队用的IP，可能在DNS解析、证书指纹、注册时间上有共同特征。黑名单完全没法利用这些信息，做不到“发现一个，揪出一窝”。而IP欺诈评分，本质上是对IP背后的行为序列、关联网络、风险衰减做建模，它回答的不再是“这个IP坏不坏”，而是“这个IP有多坏、坏多久、在什么场景下坏”。这种细腻的颗粒度，才是智能反欺诈体系真正需要的基础能力。

2. IP欺诈评分的核心维度：一个分数背后藏着多少信息

2.1 IP基础属性：不只是归属地那么简单

要给IP打一个合理的欺诈分，首先要理解这个IP“出身”如何。IP基础属性是评分模型的地基，它包含但不限于IP归属地、运营商类型、IDC机房识别、动态/静态属性等。

归属地这块，大家比较熟悉，主要看IP的物理位置和业务用户群体的偏离程度。一个主要服务国内用户的电商平台，突然出现大量海外IP的注册请求，这本身就是强风险信号。但光看地理位置远远不够，还得判断IP的类型。如果你在IP库里查询发现这个IP属于某家云厂商的机房网段，那它的风险天然就比家庭宽带的动态IP要高。毕竟正常用户不会从一台云主机上去注册你的APP并下载几百兆的安装包。

这里我想展开说下机房识别。很多人觉得识别IP是不是机房，用一个现成的IP库就行，其实远远不够。机房IP库更新非常快，黑产手里有专人负责探测新的云厂商网段，新开一个地域节点，他们第二天就能用上。所以生产环境里通常要叠加一个主动探测模块：对实时流量里出现的新IP做反向DNS解析、端口扫描、路由追踪。如果发现这个