IP情报相关字段
| 字段名 | 类型 | 取值范围 | 说明 | 备注 |
|---|---|---|---|---|
| ip | string | - | IP的值 | - |
| risk | string | safe | unknown | low | medium | high | 风险等级 | - |
| confidence | string | unknown | low | medium | high | 置信度 | - |
| block_impact | int | -1 | 1 | 2 | 3 | 4 | 5 | 阻断影响系数 | 具体说明见附录表 |
| geo_info | map | - | 地理位置信息 | - |
| geo_info.country | string | - | 国家 | - |
| geo_info.province | string | - | 省份/州 | - |
| geo_info.city | string | - | 城市 | - |
| geo_info.operator | string | - | IP注册机构 | - |
| geo_info.as | string | - | AS组织名称 | - |
| geo_info.asn | int | - | ASN | - |
| network_type | array | - | IP的网络类型 | - |
| anonymous_type | string | - | 匿踪类型 | - |
| threat_type | array | - | 威胁类型：一级标签 | 二级标签 | 一级标签从tags获取，一级标签具体说明见附录表 |
| tags | array | - | 一级标签 | - |
附表1：IP阻断影响系数描述
注：在出现威胁信息，考虑阻断时，可参照下表。
| 阻断影响系数值 | 说明 | 处置建议 |
|---|---|---|
| 5 | 一般为个人家庭用户或异常IP，相对影响最小 | 可以直接阻断 |
| 4 | 较可能为网吧、中小企业、小区宽带级用户，可以根据具体报警确定是否要设置阻截 | 直接阻断有一定的风险，但如果风险等级高，可以考虑阻断 |
| 3 | 较可能为网吧、中小企业、小区宽带级用户，可以根据具体报警确定是否要设置阻截 | 直接阻断有一定的风险，但如果风险等级高，可以考虑阻断 |
| 2 | 较可能为运营商或大型企业的出口，非紧急情况不建议拦截这些IP | 除非特别确定自己阻断的IP会造成哪些业务影响，否则，一般情况下不要阻断。但是恶意属性可以输出告警详情 |
| 1 | 较可能为运营商或大型企业的出口，非紧急情况不建议拦截这些IP | 除非特别确定自己阻断的IP会造成哪些业务影响，否则，一般情况下不要阻断。但是恶意属性可以输出告警详情 |
| -1 | 未知 | - |
附表2：IP情报威胁类型描述
| 恶意类型(一级) | 描述 | 备注 |
|---|---|---|
| INTERNET_MAPPING | 大网测绘 | - |
| SEARCH_ENGINE | 搜索引擎 | - |
| CRAWLER | 爬虫 | - |
| BOTNET | 僵尸网络 | - |
| MALWARE | 恶意软件 | - |
| HACKING | 黑客攻击 | - |
| DDOS_ATTACK | DDoS攻击 | - |
| EXPLOIT | 漏洞利用 | - |
| WEB_ATTACKER | Web攻击 | - |
| BRUTEFORCE | 暴力破解 | - |
| SPAM | 垃圾邮件 | - |
| SCANNER | 扫描器 | - |
| DNS/NTP_SERVER | DNS/NTP服务器 | - |