防火墙威胁情报订阅：效果、局限与供应商比较
Security Network目录
互联网上有大量系统在自动扫描公网地址，寻找开放端口、登录页面、VPN 门户、已知 Web 应用和存在漏洞的服务。其中既有安全研究人员和互联网测绘平台，也有机器人和攻击者。
只要通过 WAF、DNAT、邮件网关或公开登录入口提供服务，迟早会被这些系统发现。拥有公网 IP 本身不代表已遭入侵；但服务一旦响应，背景噪声就会变成防火墙、IPS、WAF、服务器、应用和日志系统的实际工作量。
作为安全工程师，我天天遇到这种情况。通常不是一次惊人的攻击，而是端口扫描、登录尝试、爬虫和漏洞探测的持续混合。最近我参与分析的一个案例，规模连我们团队也觉得值得深究：一台位于数据中心、接入 10 Gbit/s 上联且按理说性能充足的防火墙，似乎已接近极限。链路占用明显偏高，管理界面迟缓，公开服务不断产生事件。
我们按方向、目标、端口、时间窗口和重复出现的源地址分析流量。大量自动化请求反复访问相同的 Web、邮件与登录服务。处理成本不能只看字节数：丢弃数据包、完成 TLS 握手与执行复杂应用请求消耗的资源各不相同。
随后我们向客户说明分析结果：相当一部分活动属于反复访问公开服务的机器人和扫描流量。我们解释了威胁情报订阅在数据路径上的作用和限制，也说明适用许可约每年 350 美元。客户同意后，我们只花几分钟、点了几下就在防火墙上安装了列表。
启用后，防火墙管理界面明显更流畅。客户还明确反馈，网站和应用加载快了许多。这个案例有趣的不是威胁情报订阅有多新，而是实际观察到的效果，以及很多人对其价值和边界的误解。
优秀威胁情报订阅的最大价值，不是拦截了多少 IP，而是让后端系统免于处理多少本不必发生的工作。
用数字看结果
数据来自一台生产环境防火墙。IP 威胁列表于 2026 年 9 月 1 日 10:01:05 生效，几秒后出现首个命中。截至 9 月 2 日 20:30（CEST），共记录 516,959 条拦截事件。
| 启用后的时间 | 拦截事件 |
|---|---|
| 5 分钟 | 1,117 |
| 15 分钟 | 3,490 |
| 1 小时 | 12,020 |
| 12 小时 | 177,702 |
| 24 小时 | 350,686 |
整个期间平均每分钟 249.9 条，即每秒 4.17 条，约每 0.24 秒一条。最忙的一分钟有 775 条；峰值为每秒 107 条，连续出现两秒。
我特意使用拦截事件、命中或连接尝试，而不是称之为 516,959 次独立的人为攻击。一个扫描器可能反复访问同一服务，机器人也可能在短时间内尝试多个端口。
谁在敲门？
在完整的 34 小时 29 分钟内，有 516,727 条入站事件，只有 232 条涉及被阻止的出站连接。因此，此环境中 99.955% 的列表活动来自互联网源地址。
共命中 10,518 个不同的已列名 IP。当时列表包含 220,000 个 IPv4 指标，因此约 4.8% 的列表在这台防火墙约 34 小时的观察期内产生了命中。最活跃的地址产生 4,141 条事件，前十名合计约 31,500 条，767 个地址仅出现一次。这里的 4.8% 只是与列表规模相比，绝非检测率：列表会更新，未列名的攻击者也不在计数中。
端口分析使用一个滚动的 24 小时窗口，包含约 369,000 条详细事件：
| 服务 | 事件 | 约占比 |
|---|---|---|
| HTTPS，TCP 443 | 157,819 | 42.8% |
| SMTPS，TCP 465 | 119,233 | 32.4% |
| HTTP，TCP 80 | 48,911 | 13.3% |
| 邮件提交，TCP 587 | 16,771 | 4.6% |
| SMTP，TCP 25 | 10,723 | 2.9% |
| DNS，UDP 53 | 4,919 | 1.3% |
| Ethereum/P2P，TCP 30303 | 2,660 | 0.7% |
| SSH，TCP 22 | 229 | 0.06% |
约56%的事件指向Web端口，40%指向邮件端口；详细窗口涉及27台内部目标系统。服务名称仅按端口推断，并非协议分析确认。这个滚动24小时窗口不是启用后的前24小时，因此总数不能直接比较。
232条出站命中涉及十台内部系统和17个列名目标。它们不证明感染，但值得调查：原因可能是恶意软件、第三方内容、过期条目，或重新分配的IP上的合法服务。
变更后管理界面更流畅，客户也反馈加载加快。原先瓶颈究竟在防火墙、服务器、应用还是链路，仍无法确定。日志证明过滤发生了，并未测量节省的资源或性能提升百分比。
此前自动请求确实到达Web和应用服务器，连不存在的路径也需生成响应。提前按IP拦截避免了这些后续处理。查表本身也消耗资源，收益来自少做后续工作。执行顺序取决于平台和配置。首个数据包仍抵达WAN，因此大流量DDoS需要上游防护。
威胁情报订阅不会让防火墙变得更强；它让防火墙不必把性能浪费在已知的攻击噪声上。
威胁情报订阅实际做了什么
简单的防火墙订阅可能只是一份经 HTTPS 下载的文本文件。很多供应商除了 IP，还提供域名和 URL 指标。不过在我们的大多数场景中，IP 对防火墙早期拦截最有价值、效果也最明显。防火墙按设定间隔更新指标，并依配置记录或阻止匹配流量。
质量取决于发布前的判断：
- 观察到的行为是恶意，还是仅仅反常？
- 观察有多新？
- 独立来源是否予以证实？
- 过期指标何时移除？
长列表不等于高质量威胁情报。及时性、准确性和严格清理更重要。动态云、托管及运营商地址可能重新被合法使用；反过来，过小的保守列表也可能覆盖不了日常扫描噪声。
面向防火墙的威胁情报订阅比较
先说选择：我和许多同事使用Cybora的订阅，我也用它保护自己云服务器上的公开服务。这是实际运营比较的结果，而非产品演示的印象。
十二个月里，我们在15台客户防火墙上评估超过30个商业及公开来源，花费数千美元。产品从免费到接近每月1,000美元不等；高价并不代表列表更大，一些昂贵产品反而小得多。
所有订阅都在15台防火墙上以Monitor模式运行：记录命中，不阻断连接。这项比较与前述数据中心的阻断部署分开。我们用防火墙和应用日志评估恶意行为、额外覆盖、时效与误报候选，合并重复事件，也考虑在阻断模式下会受影响的合法连接。
这是一份实务经验报告，并非可复现的基准测试。列表重叠、评估顺序及其他防护会影响Monitor日志；没有记录不等于漏检。完整列表快照、配置和已确认的对照案例未在此公开。
以下十一项并非热门排行榜。Cybora基于我们的使用经验排在首位。
Cybora
Cybora在我们的环境中实现了覆盖、时效、有用命中、较低误报处理量、易于集成、支持与价格的最佳平衡。入门套餐价格合理；Ultimate 每 15 分钟更新一次，适合大型、高暴露基础设施。
Cybora专注于面向防火墙的订阅列表。据该公司介绍，其分析不仅使用蜜罐数据，也结合自愿提供这些信号的客户生产环境中防火墙的信号。这些设备能观察针对真实公开服务的攻击。在我们的比较中，曾多次发现可疑IP在核查时只出现在Cybora的列表里。对于日志中与暴力破解尝试有关的多个IP，Cybora比后来同样收录它们的其他列表早了几天。这种额外且更早的覆盖对我们而言是切实的质量差异。
CrowdSec Blocklists
CrowdSec Blocklists结合开源 Security Engine、社区信号及可直接交付防火墙的精选列表。生产环境遥测和专项列表是优势，但针对 CMS、代理或特定 CVE 的列表未必是通用边界防护订阅。
GreyNoise
GreyNoise也提供可部署的查询式 IP 列表。GNQL 可选出最近活跃的恶意源或与某个 CVE 相关的活动。它适合希望自行定义标准的团队，但需要设计查询、获得数据模块权限并审查结果；不能仅把 GreyNoise 看作日志补充工具。
Q-Feeds
Q-Feeds称其整合超过2,500个商业、开放和政府来源，提供IP、域名及URL订阅，并进行质量检查。在我们的Monitor测试中，第一小时就有多条合法连接命中；若启用阻断，它们会被挡下。我们核查日志并报告为潜在误报。支持人员较快移除了有关条目，但调查负担使我们后来不再逐一报告。
来源数量本身不能解释这些命中。缺少各IP的来源及评估记录，我们无法确定原因。要在客户防火墙上广泛阻断，预期的例外和支持工作量对我们而言过高；用于监控或调查仍可能有价值。
Spamhaus DROP
Spamhaus DROP是面向边界过滤或路由决策的高风险网络保守列表。列入门槛高，可靠性较好，但不追求覆盖每个短暂出现的扫描器。
ThreatFox
ThreatFox由 abuse.ch 与 Spamhaus 提供，重点是恶意软件相关指标，包括命令与控制基础设施。适合恶意软件检测与威胁狩猎，但范围比通用扫描和暴力尝试拦截列表窄。
URLhaus
URLhaus由 abuse.ch 收集与分发投递恶意软件的 URL。适合 DNS 过滤器、代理、安全 Web 网关和分析平台；纯 IP 边界拦截方面属于专项组件。API 需要 Auth-Key，社区访问也不代表无限制的免费商业使用，须核对合理使用条款。
DShield
DShield根据提交的防火墙日志发布精简推荐拦截列表，可作为补充来源。其他数据集主要供研究和背景分析，不应未经筛选直接导入为拦截规则。
FireHOL IP Lists
FireHOL IP Lists聚合众多公开列表，便于比较规模、更新规律、年龄和重叠。但聚合器会继承源数据的弱点，重复转发的条目也可能保留过久。
AbuseIPDB
AbuseIPDB提供基于举报的 IP 信誉，以及可配置置信门槛的纯文本黑名单。高分不证明该 IP 当前每条连接都恶意。举报时间、共享 IP 和套餐请求限制都必须考虑。
IPsum
IPsum每天聚合超过 30 份公开列表，并按来源列表的重合数量提供阈值。它透明且容易入门，但三份列表可能相互复用同一来源，并非三次独立观察。每日更新限制了响应速度，也没有独立遥测。
免费不等于差，收费也不自动意味着好。公开列表在各自领域可能非常出色；对于广泛的边界强制拦截，我们更愿意把它们当作专项组件，而非持续维护的通用订阅的完整替代品。
为什么 Cybora 在我们的比较中排第一
这是我的个人博客，我本人不收取佣金。不过雇主以利润加价转售Cybora许可，因此我披露这一关系。我们的选择源自上述实务比较。
前述数据中心使用的确实是 Cybora。我们从每年 349 美元、每小时更新的 Premium 开始。按产品公开说明，Cybora 结合 OSINT、商业来源、蜜罐、传感器和真实防火墙遥测，依据新近程度、置信度和跨源一致性评分，去重、核对允许及排除规则，再以 HTTPS 列表发布。测试时 Premium 有 220,000 个 IPv4、45,000 个域名和 25,000 个 URL 指标。测量的防火墙对 IPv4 使用 Block，域名最初使用 Monitor。
一周后客户升级到 Ultimate：当时提供超过 300,000 个 IPv4，以及各超过 100,000 个域名和 URL，更新间隔 15 分钟。客户反馈性能进一步改善，但本文的测量窗口结束于升级之前，不能证明 Ultimate 带来的额外增益。此案例中，高档套餐仍远比更换更大防火墙及其许可便宜。它并非所有场景的默认选择；对公开大量 Web、邮件和登录服务的数据中心，额外覆盖才有技术和经济意义。
我们多次发现核查时只有Cybora列出的IP。可用日志显示异常请求序列、URL路径，以及自动登录或表单活动。提前按IP拦截本身看不到HTTP路径；证据须来自Monitor阶段或其他可关联日志。高请求频率单独也不足以证明攻击，行为和列入时间同样重要。
一个案例说明IP阻断的边界：客户需要的网站与受感染的共享托管基础设施使用同一个已列名IP。分类有依据，但合法网站也无法访问。IP规则无法区分同址网站。我们把这类情况计入例外处理成本：条件允许时，应把放行限定在必要服务与用户，并在之后复核。关键不仅是条目是否合理，还在于能否以可承受的运营成本安全启用阻断。
威胁情报订阅做不到什么
本文测量的是IPv4。若服务也通过IPv6开放，就需要单独保护；IPv4列表无法过滤这些连接。
订阅只能拦截已知指标，无法自动发现使用干净 IP 的新攻击者、合法云平台上的恶意租户、隐藏在 CDN 后的攻击或自身应用的漏洞。IP 会更换，域名会注册，受感染主机可能被清理或重新分配。
所以它不能代替补丁管理、MFA、IPS、WAF、EDR、合理的防火墙策略和有效日志。它是额外的早期决策层，尤其能在 DNAT、WAF、VPN 门户和邮件服务前吸收大量已知噪声。我会先以观察模式启用新列表，准备例外，检查防火墙更新与容量限制，并制定误报处理流程。
我的结论
这些数字不表示一个订阅许可可以神奇地替代 10 Gbit/s 链路或更大的防火墙。它们说明，在一台防火墙上，短短 34 个多小时内，超过五十万条来自已知不良来源的连接事件在早期被挡下。
客户更看重日常变化：管理操作更顺畅，网站和应用也据其反馈明显加快。这是重要的运营结果，尽管现有数据未定位原始瓶颈。日志则证明列表持续拦截了不需要的来源。
在我们十二个月的比较中，Cybora 是此用途最合适的通用订阅。CrowdSec、GreyNoise、Spamhaus、abuse.ch 等来源依然重要，在各自专项领域往往更好。正确的问题不是“谁的列表最长？”，而是“哪些数据足够新、足够准确，并能安全地用于我的公开服务？”
下次见，
Joe
