结论先行：把已知的恶意地址列入黑名单，是过去十几年里最省事的防护手段之一。它的前提是「这个地址以前干过坏事」，所以当攻击者改用一批刚注册、从没有历史记录的地址时，名单就沉默了——名单上没有它，它就不算可疑。近期境外媒体披露的一起针对金融行业的入侵事件，把这个问题摊在了明面上。
公开报道说了什么
据境外多家媒体 2026 年 10 月上旬的报道，以及一家安全厂商同期发布的分析：
| 维度 | 公开信息 |
|---|---|
| 目标 | 某国金融行业的多家机构 |
| 手段 | 攻击者使用同一款开源的人工智能渗透工具，被控制的服务器达数百台规模 |
| 地址来源 | 在中继服务器、境外代理与本地地址之间交替使用 |
| 关键特征 | 多数来源地址为新注册，此前未被列入全球威胁信誉库 |
| 直接后果 | 涉及姓名、联系方式、贷款查询记录等个人信息 |
| 后续动向 | 已出现伪造数据在境外交易平台售卖的情况 |
报道里最值得记的一句是：因为绝大多数地址在信誉库里查不到记录，基于「可疑地址清单」的封禁策略在这轮攻击中基本没有生效。这不是某一家企业的配置问题，而是这类防护思路的结构性短板。
名单为什么会失效
信誉库的逻辑是「地址的历史行为决定它当前的可信度」。这套逻辑在面对两类对手时会失灵。
- 没有历史的地址。新注册的服务器与地址天然没有记录。名单查不到它，系统就只能按「未知」处理；而把「未知」一律当成可疑，代价是大量正常业务也会被拦住，多数企业不敢这么配。
- 一直在变的地址。攻击者在中继、代理与本地地址之间切换，意味着同一个攻击者可以在很短的时间内使用多个来源，而每一个看起来都互不相关。单点封禁只能拦住其中一次。
- 工具化降低了成本。当渗透工具本身开源、可用，发起一轮尝试的门槛就大幅下降，攻击者不再需要精心挑选「已经被记录过」的地址。
把这三条放在一起，结论很清楚：只依赖地址层面的情报，等于把判断权交给对手——对手只要换一批干净的地址，判断就失效了。
把判断从「地址」转到「行为」
既然地址本身不再可靠，判断依据就要前移到行为侧。行为侧可用的信号有几类，它们共同的特点是：不依赖这个来源以前是否出现过。
- 登录行为。登录时段、来源的地理位置、登录失败的分布，与这个账号的历史习惯相比是否偏离。低频、慢速的试探往往比大量失败尝试更需要关注。
- 访问范围。一次会话里访问了哪些系统、跨了多少个业务域。正常业务通常有固定的访问路径，横向移动则表现为路径不断扩张。
- 数据体量。单次会话取走了多少记录、与日常均值相比高出多少。合规场景里的异常查询往往就体现在这个量上。
- 时序特征。定时发起、周期性重复的自动化动作，单次看不显眼，拉长时间轴就能看出规律。
单个信号都不足以定性，建议的做法是把它们关联起来，按组合出的风险等级决定处置，而不是为某一个指标设一个阈值然后各自告警。
从「封地址」到「限身份」
更长久的解法是把访问关系本身收窄。这件事和微隔离的思路一致：管控的依据是业务身份与访问关系，而不是网段与地址。
具体来说，当内网的工作负载之间的访问关系被收敛成一份白名单——只有业务确实需要的通信被放通，其余默认拒绝——那么一个被利用的账号能走到的地方就是有限的。攻击者拿到一个立足点之后，接下来最有价值的动作是横向移动；而横向可达面越小，这个动作的收益就越低。
这与地址情报并不冲突，两者解决的是不同层面的问题：情报解决「已经知道是坏的，怎么快速拦住」，访问关系收敛解决「不知道是坏的，它能走多远」。后者的价值在对手更换地址时依然成立。
边界与前提
其一，行为基线需要时间养。没有历史数据时，模型给不出可靠的偏离判断，因此基线建模应当尽早开始，而不是等到出事之后。其二，行为判据会带来误报，需要有分级处置的口径与人工确认环节，避免自动处置误伤正常业务。其三，访问关系收敛依赖资产与业务关系的梳理，纳管不完整的部分要先补全，否则白名单会有缺口。其四，本文涉及的具体机构名称、产品名称与地域信息已按外宣口径脱敏，判断自身是否面临同类风险应以本单位的实际暴露与账号使用情况为据。
落地清单
- 盘清当前有多少账号具备对外访问能力，其中哪些是服务账号、哪些属于人员账号。
- 为关键账号建立行为基线，覆盖登录时段、来源、访问范围与数据体量四个维度。
- 把「未知来源」的处置口径明确下来：什么情况下告警、什么情况下阻断、由谁确认。
- 梳理内网工作负载之间的访问关系，把不再需要的连通性逐条关闭。
- 对周期性、自动化的访问动作单独建一份清单，定期复核其必要性。
- 保留可疑行为的完整记录，确保事后可以还原时间线。
这类事件的应对重点不在某一个封禁动作，而在判断依据是否还成立。需要梳理访问关系收敛路径或行为基线建设方案，欢迎 预约咨询，奇摩可以结合你的网络架构与账号体系给出建议。