Step 01
确认地址在事件发生时属于谁
记录告警时间、IP、端口和相关账号，再查询当前 ASN 与托管商。对于云主机和动态地址，当前归属不能自动代表历史归属。
检查内部资产台账、云平台分配记录和 NAT 日志，确认该地址在事件时间是否真正对应自己的服务或用户。
Step 02
理解命中的列表类型
垃圾邮件、开放代理、扫描器、僵尸网络和恶意软件控制地址代表不同风险。阅读列表说明、记录时间和解除条件，不要把所有命中都解释为主机已经被攻陷。
多源同时出现近期一致记录，可信度通常高于单个陈旧记录；但仍需要本地证据确认影响。
Step 03
用本地日志验证当前行为
检查邮件发送、认证失败、出口连接、代理服务和终端告警。没有本地异常时，可以先加强观察和验证，而不是立即永久封禁所有相关用户。
风控场景可使用二次认证、限速和风险分层，并记录被拦用户的申诉结果来评估误判。
Step 04
修复或申诉后持续观察
发现异常时先停止流量、轮换凭据、修复主机和关闭错误代理。完成后按照列表官方流程提交复核，保留工单与时间线。
如果地址来自第三方供应商，明确要求对方提供处理结果和防止复发的措施，不要只接受“已更换 IP”作为根因修复。
Action Checklist
执行清单
进度只保存在当前浏览器，不会上传目标、账号或内部信息。
Questions
常见问题
IP 命中黑名单就表示服务器被入侵了吗？
不一定。记录可能来自垃圾邮件、代理、扫描、历史租户或动态地址。必须结合列表类别、时间和本地日志判断。
云主机更换 IP 后还需要处理旧记录吗？
需要保存原地址使用时间和处理证据，并确认异常根因已经修复。单纯更换地址可能让问题在新 IP 上再次出现。
什么时候可以申请移除信誉记录？
先停止异常行为、修复主机或配置，并按照具体列表的官方要求提交复核。没有修复根因时过早申请通常没有意义。