恶意IP天天换马甲？华为防火墙IP信誉库按名单直接处置

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

恶意IP天天换马甲，手工加黑名单永远慢半拍；华为防火墙启用IP信誉过滤，按特征库自动匹配处置并记录日志，名单更新跟着库走，再配Top N统计一眼看清内网谁在外联。

黑名单为什么永远慢半拍？

应急响应里让人头疼的场景之一：挖矿、外联、僵尸网络回连的源头IP天天在换，黑名单一条条加永远慢半拍。IP信誉过滤换了个思路——设备直接加载IP信誉特征库，库里记录着恶意IP地址、端口、协议、威胁类型和对应的处理动作，流量一来就按库匹配，命中即按动作处置并记录日志，名单更新跟着特征库走，不用管理员手工追。

这个功能靠什么发挥作用？

先说前提：这个功能依赖IP信誉特征库文件，先把特征库升级到位再谈别的，库的时效决定了能拦住多少新威胁。加载之后，它对僵尸网络、挖矿、APT攻击这类威胁的防御能力提升直接——这些攻击的共同点就是对端IP在库里挂了号。

开启要敲哪几条命令？

开启是三条命令的事。进系统视图：

system-view

启用IP信誉过滤：

anti-ddos ip-reputation enable

再顺手把Top N统计打开：

anti-ddos topn-statistic ip-reputation enable

依据：华为官方典型配置案例（2026-11 版）。

命中情况怎么看？

开了统计，就能用display anti-ddos topn-statistic ip-reputation命令看命中信誉库的Top N地址，快速判断内网哪些主机在外联恶意IP；想细看某个地址，用display security-telemetry ip-reputation ip加地址查它的信誉详情，威胁类型、处置建议一目了然。

运维上建议把它当"自动名单"用：日常靠库自动拦，应急时再人工补黑名单，两条线并行。定期看Top N统计，命中集中的网段往往就是先中招的那批主机，顺着处置比等用户报障快得多。

处置动作怎么收放？

处置动作分阻断和告警两档，刚上线时可以观察告警日志跑一段时间，确认库的判定和业务不冲突，再让阻断动作全面接管。特别是一些对外提供服务的地址段，万一库里有误报，直接阻断会影响正常客户，先把告警当缓冲期用，处置更稳妥。等运行一两个月、对库的准确率心里有数了，再把策略收紧到全程阻断，安全与业务就都照顾到了。

威胁情报这类能力，单靠一台设备开个开关发挥不出全部价值，要跟特征库维护、日志外发、应急流程串起来才有用。贵州诚鑫致达科技给企业做安全运营时习惯把这条链路一起理顺，欢迎搜索关注，获取更多防火墙进阶配置内容。