IP Reputation & Threat Intelligence API

Check any IP against 25+ threat feeds. Get risk score, malware C2 detection, darkweb mentions, Tor exit detection, ML predictions & MITRE ATT&CK attribution.

原始信息汇总

数据集概述：IP Reputation & Threat Intelligence API

提供方：RaffSec
类别：网络安全
核心功能：针对任意IPv4地址，实时查询25+威胁情报源，生成全面的IP信誉与威胁情报报告。

API端点（共17个）：

• 完整IP信誉报告：获取风险评分(0-100)、等级(LOW/MEDIUM/HIGH/CRITICAL)、判定(ALLOW/REVIEW/BLOCK)、25+黑名单源查询、网络上下文(ASN/ISP/国家/城市/托管类型)、Shodan开放端口、被动DNS、行为指纹、ML预测风险、威胁类别、信誉时间线、Shodan漏洞(CVE)。
• 黑名单检查：快速查询IP是否出现在所有配置的黑名单源中（如abuse.ch、FireHOL、IPSum、Spamhaus等）。
• 暗网与Tor检测：检测Tor出口节点、集成Ransomware.live PRO API、Ahmia.fi暗网搜索、.onion域名发现、Nitter RSS监控。
• ML预测风险：基于逻辑回归模型预测IP未来恶意活动的概率(0.0-1.0)和类别(Malware C2, Scanner等)。
• 行为指纹：分析突发速率、周期性(C2信标特征)、周末活动比率、证书续订事件，识别自动化工具和C2信标行为。
• 威胁行为者归因：映射至MITRE ATT&CK框架，包含189个入侵集、729个恶意软件家族、147个行为者-恶意软件关联及置信度评分。
• 基础设施图谱：可视化IP关联的基础设施（Shodan主机名/域名、CVE、反向DNS、黑名单共现映射）。
• JA3 TLS指纹：基于97个已知恶意JA3哈希检测恶意软件TLS指纹，关联家族（QakBot、Emotet、Dridex等）及SSLBL僵尸网络C2。
• OTX威胁情报：查询AlienVault OTX社区威胁脉冲（脉冲数、恶意脉冲数、信誉评分、关联对手、恶意软件家族等）。
• TLS证书指纹：获取SSL/TLS证书详情（颁发者、主题、有效期、序列号）。
• ASN上下文：返回ASN编号、网络前缀(CIDR)、国家、城市、托管类型、Tor退出状态。
• 数字足迹：查看历史SSL证书、DNS记录、Shodan扫描历史、被动DNS映射。
• 信誉时间线：按时间顺序排列的信誉事件（黑名单命中、得分变化、报告生成）。
• 事件历史：数据库完整事件历史，含事件类型、时间戳及元数据。
• CSV导出：将信誉数据导出为CSV格式（时间戳、风险评分、风险等级、判定），便于导入SIEM/Splunk/Excel。
• 摘要：轻量级摘要（负载减少95%），仅含风险评分、等级、判定和命中源。
• 批量查询：一次最多查询25个IP，并行处理，返回去重结果。

数据源（25+实时数据源）：涵盖abuse.ch (FeodoTracker/SSLBL/ThreatFox/URLhaus/MalwareBazaar)、FireHOL、IPSum、Spamhaus、AlienVault OTX、Shodan InternetDB、DShield、CINS Army、Emerging Threats、Blocklist.de、GreenSnow、BinaryDefense、Dataplane、Ransomware.live、Ahmia.fi、Team Cymru ASN情报、MITRE ATT&CK (189个入侵集、729个恶意软件)。

性能指标：

• 热缓存响应时间：<500ms
• 冷缓存响应时间：<8s
• 目标可用性：99.9%
• 缓存策略：Redis缓存，TTL为15分钟
• 25个数据源并行查询

定价方案：

• BASIC (免费)：$0.00/月，含100次请求/月。
• PRO：$9.00/月
• ULTRA：$49.00/月

安全特性：

• API密钥认证 (X-API-Key Header)
• 按定价层级限速
• 仅支持HTTPS (TLS 1.2/1.3)
• 不存储永久IP数据
• 符合GDPR规范，不处理个人数据

更新历史：

• v3.0.9：超时部分评分、JA3恶意软件关联、缓存预热
• v3.0.8：每源响应时间、真实源名称
• v3.0.7：响应清理、源匿名化
• v3.0.6：聚合器超时修复、Tor检测、基础设施图
• v3.0.5：合并暗网+Tor、鲁棒SSL BL解析

常见问题：

• 威胁源更新频率：每15分钟刷新一次。
• risk_score与confidence区别：risk_score(0-100)表示IP恶意程度；confidence(0.0-1.0)表示对该评分的置信度（基于源一致性）。
• IP存储：不存储IP，仅保留事件历史用于信誉时间线。
• 商业用途：Pro和Ultra方案允许商业使用。