IP情报查询接口

接口用途

本接口的查询主要针对来访IP地址，主要为有经验的分析人员提供报警分析所需要的全面证据性情报信息，包括：地理位置、运营商、网络类型、既往攻击和匿踪行为等；同时，还给出了用于分析判断的IP访问意图及阻断影响建议，帮助响应人员快速研判。

IP情报匹配入局流量的来源IP作为特征提供丰富上下文，可协助明确来源属主信息，地理位置，威胁属性和来访意图。

接口定义

QueryIP(query string) *C.char

请求参数

字段	类型	说明	是否必填
query	string	请求query，多个参数可用,分隔	是

响应参数

一级字段	二级字段	三级字段	四级字段	五级字段	类型	可选值	说明
errno					int		状态码（详见状态码说明）
msg					string		结果说明
result					map		查询结果
	ip的值				map		360源
		summary			map		摘要
			ip		string		IP的值
			risk		string	unknown/low/medium/high	风险等级
			confidence		string	unknown/low/medium/high	置信度
			block_impact		int	-1/1/2/3	阻断影响系数（具体说明见附录表）
			geo_info		map		地理位置信息
				country	string		国家
				province	string		省份/州
				city	string		城市
				operator	string		IP注册机构
				as	string		AS组织名称
				asn	int		ASN
			network_type		array		IP的网络类型
			anonymous_type		string		匿踪类型
			threat_type		array		威胁类型（具体说明见附录表）
		tags			array		一级标签
invalid					array		非法IP查询参数

附表1：IP阻断系数描述

阻断系数值	说明	处置建议
5	一般为个人家庭用户或异常IP，相对影响最小	可以直接阻断
4	较可能为网吧、中小企业、小区宽带级用户，可以根据具体报警确定是否要设置阻截	直接阻断有一定的风险，但如果风险等级高，可以考虑阻断
3	较可能为网吧、中小企业、小区宽带级用户，可以根据具体报警确定是否要设置阻截	直接阻断有一定的风险，但如果风险等级高，可以考虑阻断
2	较可能为运营商或大型企业的出口，非紧急情况不建议拦截这些IP	除非特别确定自己阻断的IP会造成哪些业务影响，否则，一般情况下不要阻断。但是恶意属性可以输出告警详情
1	较可能为运营商或大型企业的出口，非紧急情况不建议拦截这些IP	除非特别确定自己阻断的IP会造成哪些业务影响，否则，一般情况下不要阻断。但是恶意属性可以输出告警详情
-1	未知

附表2：IP情报威胁类型描述

恶意类型(一级)	描述
INTERNET_MAPPING	大网测绘
SEARCH_ENGINE	搜索引擎
CRAWLER	爬虫
BOTNET	僵尸网络
MALWARE	恶意软件
HACKING	黑客攻击
DDOS_ATTACK	DDoS攻击
EXPLOIT	漏洞利用
WEB_ATTACKER	Web攻击
BRUTEFORCE	暴力破解
SPAM	垃圾邮件
SCANNER	扫描器
DNS/NTP_SERVER	DNS/NTP服务器

附表3：IP情报一级标签说明

ID	一级标签	说明
1	SCANNER	扫描器
2	SEARCH_ENGINE	搜索引擎
3	CRAWLER	爬虫
4	INTERNET_MAPPING	大网测绘
5	BOTNET	僵尸网络
6	BRUTEFORCE	暴力破解
7	EXPLOIT	漏洞利用
8	WEB_ATTACKER	Web攻击
9	SPAM	垃圾邮件
10	DDOS_ATTACK	DDoS攻击
11	HACKING	黑客攻击
12	MALWARE	恶意软件
13	DNS/NTP_SERVER	被反射利用的DNS/NTP服务器
14	OTHER	其他

响应示例

{
    "errno": 2000,
    "msg": "success",
    "result": {
        "185.220.102.250": {
            "summary": {
                "ip": "185.220.102.250",
                "risk": "unknown",
                "confidence": "unknown",
                "block_impact": -1,
                "geo_info": {
                    "country": "荷兰",
                    "province": "北荷兰省",
                    "city": "阿姆斯特丹",
                    "operator": "Zwiebelfreunde e.V.",
                    "as": "ZWIEBELFREUNDE",
                    "asn": 60729
                },
                "network_type": [],
                "anonymous_type": "TOR",
                "threat_type": []
            },
            "tags": []
        },
        "invalid": []
    }
}