01 · 研究背景与意义
1.1 僵尸网络与DDoS：互联网基础设施的"公地危机"
僵尸网络（Botnet）是攻击者通过恶意软件控制大量受感染设备（"肉鸡"／"僵尸"）所形成的分布式受控网络，其核心功能由命令与控制（C2）通道驱动，典型能力包括分布式拒绝服务攻击（DDoS）、垃圾邮件发送、凭据窃取、代理转发与加密货币挖矿等。DDoS攻击则利用或模拟大量分布式来源耗尽目标网络带宽、协议栈状态或应用资源，使正常用户无法获得服务。二者结合构成了过去二十年互联网基础设施面临的最常态化、最具破坏力的威胁之一：
- 规模化的攻击供给：2016年9月，Mirai僵尸网络对安全记者Krebs on Security网站发起峰值约620Gbps的DDoS攻击（初期报道为665Gbps，Akamai后续分析口径约620—623Gbps，其Q3 2016安全报告记录为623Gbps），为当时历史纪录；数周后Mirai感染的海量摄像头、路由器又攻击Dyn DNS服务商，导致Twitter、GitHub、Netflix等众多主流网站服务中断（2016年10月21日）。这些事件首次以全社会可见的方式证明：消费级IoT设备的大规模失陷可以直接动摇全球互联网关键基础设施。
- 快速演进的技术对抗：从2018年Memcached UDP反射放大约1.35Tbps攻击GitHub平台（Akamai披露，2018年2月28日），到2023年10月利用HTTP/2协议漏洞（CVE-2023-44487，"Rapid Reset"）创纪录的每秒数亿请求级应用层DDoS（Google Cloud披露峰值约3.98亿rps，Cloudflare披露约2.01亿rps），攻击面持续向协议缺陷与应用语义深处迁移。
- 常态化的黑产经济：DDoS即服务（Booter／Stresser平台）、受控设备代理池、肉鸡出租已形成成熟的地下产业链。执法部门的持续打击（如美国FBI与欧洲刑警组织2022年12月联合开展的Operation PowerOFF，关停48个Booter平台域名）显示治理必须依靠技术、法律、产业链多方协同。
1.2 中国语境下的特殊性与治理要求
- 网络大国的高暴露度：中国拥有全球规模最大的互联网接入与智能终端存量，宽带路由器、网络摄像头、智能电视盒子等设备保有量大，历史上多次成为IoT僵尸网络重点招募区域。360 Netlab等团队在2019年披露的Mozi僵尸网络即以国内物联网设备为主要感染目标之一，采用P2P（DHT）架构提升存续能力。
- 合规驱动：《中华人民共和国网络安全法》第27条明文禁止"非法侵入他人网络、干扰他人网络正常功能、窃取网络数据"等行为；提供DDoS攻击服务、控制僵尸网络在我国可适用《刑法》第285条（非法侵入、非法控制计算机信息系统）、第286条（破坏计算机信息系统）、第287条之一／之二（非法利用信息网络罪、帮助信息网络犯罪活动罪）等条款。2011年最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）明确了破坏计算机信息系统功能"后果严重""后果特别严重"的认定标准，使DDoS攻击的刑事追责具有可操作性。
- 关键信息基础设施保护要求：《关键信息基础设施安全保护条例》（2021年9月1日施行）要求能源、电信、金融、公共服务等领域设施优先保障自身网络安全，大规模DDoS防御能力是其直接组成部分。
1.3 三个结构性挑战
| 挑战 | 内涵 | 本课题应对（对应页） |
|---|---|---|
| 攻击规模与成本的失衡 | 攻击者可低成本聚合海量失陷设备与反射源，防御方却需付出高成本带宽与算力；攻防成本严重不对称 | 第4、6页：放大攻击机理与分层协同防御 |
| 僵尸网络的隐蔽性与韧性 | P2P架构、DGA域名、Fast-Flux、加密C2等机制使追踪与摧毁难度持续上升，单点打击难以根除 | 第2、3、5页：体系解剖、谱系追踪与测绘情报 |
| 治理的跨主体协同难题 | 僵尸网络与DDoS治理横跨终端厂商、运营商、云厂商、监管机构与跨境执法主体，情报共享与处置权限复杂 | 第7、8页：案例档案、法律框架与实施路线 |
认知纠偏：①"DDoS只是带宽问题，买大带宽即可"——应用层慢速攻击与协议缺陷型攻击难以靠带宽解决；②"被控设备只在国外"——国内IoT设备历史上是Mirai、Mozi等家族的重点招募对象；③"封禁攻击源IP即可"——现代攻击大量使用伪造源IP的反射放大与海量分布式肉鸡，单点封禁无效；④"僵尸网络只是安全团队的事"——设备厂商、运营商、云服务商、监管机构的协同才是治理主线。
02 · 研究目标与关键问题
- 分析体系目标：形成僵尸网络体系结构、C2通信、隐匿技术与DDoS攻击手法的系统化知识框架，建立可复用的分析方法论与指标口径（第2、4页）。
- 情报能力目标：建成蜜罐、NetFlow遥测、被动DNS与sinkhole相结合的僵尸网络监测与规模估计能力，形成家族谱系追踪底账（第3、5页）。
- 防御能力目标：形成覆盖"终端—边界—上游—云清洗"的分层DDoS防御体系设计方法，明确各层技术与协同机制的适配边界（第6页）。
- 治理闭环目标：梳理国内外法律框架与执法协同案例，形成组织可落地的治理实施路线图与度量指标（第7、8页）。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 防御成本不对称的缓解路径 | 在攻击成本远低于防御成本的结构性失衡下，哪些技术机制（近源清洗、Anycast、协议治理）与协同机制（运营商联动、上游过滤）能实质改变攻防成本比？ | 第4、6页 |
| KQ-2 | 僵尸网络规模的可观测性边界 | 基于蜜罐、NetFlow与sinkhole等间接观测手段估计感染规模时，存在哪些系统性偏差？如何建立可复现、可交叉验证的规模估计口径？ | 第5页 |
| KQ-3 | 治理打击的长期效果评估 | Mirai作者定罪、Emotet/Qakbot摧毁等标志性执法行动后，相关家族活动呈现何种延续与分化模式？"摧毁—重建—演化"循环中治理的边际效用如何评估？ | 第3、7、8页 |
03 · 生态参与方与演进时间线
3.1 生态参与方与职责
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 监管机构与应急组织 | 监测预警、通报处置、专项行动、跨境协同 | 中国CNCERT/CC（长期发布DDoS攻击资源相关报告）、公安部"净网"专项行动；美国CISA／FBI、欧洲刑警组织EC3（欧洲网络犯罪中心）、INTERPOL |
| 基础电信运营商 | 近源清洗、骨干网流量工程、开放服务治理 | 中国电信"云堤"抗D服务、中国联通／中国移动相应清洗能力；国际Anycast与上游过滤生态（MANRS倡议） |
| 云与安全厂商 | 云清洗、WAF、威胁情报、攻击观测披露 | Cloudflare、Akamai、Google Cloud、AWS Shield、微软Azure DDoS Protection；国内云厂商抗D产品线 |
| 学术与开源社区 | 僵尸网络测量方法论、蜜罐工具链、数据集 | USENIX Security 2017论文《Understanding the Mirai Botnet》；The Honeynet Project；Cowrie、Dionaea等开源蜜罐 |
| 设备厂商 | 固件安全、默认口令治理、漏洞修复 | 摄像头/路由器厂商PSIRT；MikroTik对CVE-2018-14847的修复与公告 |
3.2 领域演进关键时间线
| 时间 | 事件（均可公开查证） |
|---|---|
| 2007—2008 | 2007年4—5月爱沙尼亚政府、银行、媒体网站遭大规模DDoS攻击（北约合作网络防御卓越中心CCDCOE随后于2008年成立，网络攻防进入国家级议程）；Storm僵尸网络（2007）以百万级感染规模与Fast-Flux技术著称；2008年Conficker蠕虫构建超大规模僵尸网络（估计超过700万台设备，各机构口径不一），并催生多国联合的Conficker Working Group |
| 2010—2012 | Waledac（2010年2月，微软联合执法经法院命令接管域名实现瓦解）、Rustock（2011年3月微软主导打击）、Kelihos（2011年起多次打击）等垃圾邮件僵尸网络相继被摧毁；2012年Grum僵尸网络核心被关停——PC时代"域名/C2接管"式执法治理路径成熟 |
| 2014—2015 | Gafgyt（又称BASHLITE，2014年）成为首个大规模IoT僵尸网络，感染规模估计达数十万；LizardStresser等Booter平台发起针对游戏平台的攻击，DDoS即服务经济成型；GameOver Zeus（2014年5月，FBI主导Operation Tovar）被多国联合打击 |
| 2016 | 9月Mirai以默认口令感染IoT设备发起约620Gbps攻击（Krebs网站）；9月末其作者将源代码发布于Hackforums论坛（自称Anna-senpai），变种随即泛滥；10月21日Dyn DNS遭攻击致全球大量网站瘫痪；法国OVH披露遭遇约1.1Tbps级攻击；同月Hajime P2P僵尸网络被发现（自称善意的"白色蠕虫"）；12月欧洲刑警组织主导摧毁Avalanche网络 |
| 2017—2018 | 美国司法部公布Mirai三名作者（Paras Jha、Josiah White、Dalton Norman）认罪（2017年12月），2018年9月被判处五年缓刑并处罚金/赔偿金；BrickerBot（2017）尝试直接损毁不安全IoT设备引发伦理争议；2018年2月Memcached UDP反射放大攻击GitHub达1.35Tbps；Satori等Mirai变种利用路由器0day漏洞传播 |
| 2019—2021 | 360 Netlab披露Mozi僵尸网络（2019年，DHT-P2P架构）；2020年2月AWS披露缓解2.3Tbps级UDP反射攻击（AWS Shield）；2021年1月Emotet遭国际联合打击（欧洲刑警组织称其为"最危险僵尸网络之一"），执法机构随后向受控设备推送卸载模块；2021年Mēris僵尸网络（利用MikroTik路由器CVE-2018-14847）发起创纪录HTTP DDoS：Cloudflare披露7月约1720万rps，Qrator披露9月对Yandex攻击峰值约2180万rps；微软披露2021年11月缓解3.47Tbps级UDP反射攻击 |
| 2022至今 | 2022年12月FBI与欧洲刑警组织等开展Operation PowerOFF，关停48个Booter平台域名并逮捕相关人员；Mēris攻击纪录继续攀升（Cloudflare披露2022年约2600万rps的HTTPS DDoS）；2023年8月FBI主导Operation Duck Hunt瓦解Qakbot（司法部通报清理数十万台受感染计算机）；2023年10月HTTP/2 Rapid Reset（CVE-2023-44487）攻击披露：Google披露峰值约3.98亿rps、Cloudflare披露约2.01亿rps，成为迄今公开披露的最大应用层DDoS事件之一 |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| 僵尸网络（Botnet） | 由恶意软件感染并被统一指挥的设备集群；控制者称Botmaster／Herder，被控设备称Bot／肉鸡 |
| C2（Command & Control） | 控制者向僵尸网络下发指令、回收数据的指挥通道；通信形式包括IRC、HTTP(S)、自定义TCP/UDP、DNS隧道等 |
| DGA（域名生成算法） | 攻击者与僵尸程序按同一算法每日批量生成候选域名，注册其中少数用于C2，以提高封堵成本；Conficker（2008）是经典样本 |
| Fast-Flux | 单个域名对应IP地址高频轮换的DNS技术，常用于隐藏钓鱼与C2主机，Storm等家族曾大量使用 |
| Sinkhole（沉洞） | 接管或重定向恶意域名/IP解析至受控观测节点的处置技术，用于压制僵尸网络并量化其规模 |
| 放大系数（Amplification Factor） | 反射攻击中响应流量与请求流量之比；US-CERT告警TA14-017A给出NTP约556.9倍、Memcached可达1万—5.1万倍等观测口径 |
| Booter/Stresser | 以"压力测试"名义对外出售DDoS攻击服务的平台，是DDoS黑产化的典型形态 |
| Anycast | 同一IP在多个地理位置同时广播的路由技术，将攻击流量天然分散至多个清洗节点，是云抗D的底层机制 |
| RTBH/FlowSpec | 远程触发黑洞（RFC 7999）与BGP Flow Specification（RFC 8955）路由，用于上游侧快速丢弃或过滤攻击流量 |
| RDoS | 勒索型DDoS：以持续攻击威胁索要比特币等赎金，2014年后成为常态攻击动机之一 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "DDoS防御就是买带宽" | 容量型攻击可经上游清洗缓解，但协议型（TCP状态耗尽）与应用型（慢速、低速CC）攻击与正常流量高度相似，带宽扩容不仅无效反而放大资源消耗；分层组合处置才是正解（第4、6页）。 |
| "被封IP就安全了" | 反射放大攻击使用伪造源IP，封禁单个IP无意义；分布式肉鸡IP数量庞大且遍布全球，单点封禁对抗成本极高，需依赖信誉库、近源限速与协同处置（第5、6页）。 |
| "攻击流量越大越危险" | 2016年Dyn事件的影响来自攻击目标（DNS）的结构性关键性而非流量绝对值；2023年Rapid Reset事件显示"每秒请求数"与"针对协议实现缺陷"的威胁不亚于带宽型攻击（第4、7页）。 |
| "僵尸网络离普通企业很远" | 企业内被控IoT/办公设备既可能成为肉鸡，也可能因同网段设备被控而暴露；企业同时是被攻击方与"攻击基础设施贡献方"，双向治理缺一不可（第2、5页）。 |
| "一次打击即可根除" | Emotet在2021年被打击后于数月内即被其他团伙重建利用，Qakbot也有长期演化史；僵尸网络治理是持续对抗过程，"摧毁—重建—演化"循环要求常态化监测与协同（第3、7、8页）。 |
05 · 研究范围与合规边界
- 对象范围：以IoT僵尸网络与大规模DDoS攻击为研究主线，兼顾PC僵尸网络与混合型家族的治理经验（方法论具有延续性）；覆盖"攻击体系—攻击技术—测绘情报—防御体系—治理协同"全链条。
- 深度边界：研究止于防御与治理所需的原理级、特征级分析；不提供可直接复用的攻击代码、攻击配置与具体操作流程；攻击参数（如放大系数）仅引用权威机构公开口径。
- 协同边界：设备侧固件缺陷与默认口令治理归子课题01；工控系统遭DDoS/僵尸网络影响的OT场景联动归子课题02；家居与车载终端被控后的隐私与合规问题归子课题03、04；物联网卡滥用与平台侧C2治理归子课题05——本子课题为各子课题提供僵尸网络与DDoS维度的纵深分析。
- 时效声明：所引事件日期、流量/规模数值均标注公开披露主体与口径（厂商博客、执法机关通报、学术论文）；不同来源数据存在口径差异时明确说明，不混用。
合规与伦理声明：①蜜罐部署、流量采集与测绘研究须遵守《网络安全法》《数据安全法》及目标网络授权边界，不干扰他人网络正常功能；②对第三方网络与设备的主动探测仅限授权范围，涉及个人信息的数据按最小必要原则脱敏处理；③处置研究（sinkhole、域名接管等）属于监管与执法职权范畴，组织内部仅限防御性应用并留存审计记录；④本课题不提供任何形式的攻击服务或攻击能力。
06 · 与子课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 IoT设备固件安全 | 本子课题蜜罐捕获的口令爆破字典、漏洞利用特征直接回馈固件侧默认口令与漏洞治理；固件分析发现的弱口令清单是僵尸网络感染机理分析（第2、3页）的底层证据 |
| 02 工控系统（OT）安全 | OT资产暴露于DDoS与僵尸网络的叠加风险（如DVR等工控周边设备曾被Mirai家族感染）；OT被动监测发现的异常外联C2流量与子课题02的异常检测规则互补 |
| 03 智能家居与消费电子安全 | 家用摄像头、路由器被招募为肉鸡的真实案例（Mirai/Mozi）为子课题03的设备入网检测基线提供攻击面证据 |
| 04 车联网安全 | 车联网云端服务与OTA分发节点是DDoS高价值目标；边缘海量车载终端的失陷风险需参照本子课题的规模估计方法评估 |
| 05 物联网平台与通信协议安全 | 平台侧MQTT/CoAP滥用、物联网卡黑卡是C2通信与肉鸡招募的通道之一；本子课题的C2流量指纹库支撑子课题05的协议异常检测 |
07 · 预期成果与交付物
- 《僵尸网络体系结构与C2通信分析手册》（架构分类、协议与隐匿机制、反制技术，第2页）
- 《僵尸网络家族谱系与演化追踪底账》（2007—2025标志性家族、打击与重建史，第3页）
- 《DDoS攻击技术图谱与放大面基线》（攻击分类、放大系数权威口径、攻击经济学，第4页）
- 《僵尸网络监测与规模估计方法学》（蜜罐部署规范、NetFlow/sinkhole分析口径、偏差控制，第5页）
- 《大规模DDoS分层协同防御体系设计指引》（云清洗、上游过滤、协议治理与演练，第6页）
- 《标志性事件与执法处置案例档案库》（事实核验版事件档案，第7页）
- 《僵尸网络与DDoS治理合规实施路线图》（国内外法律映射、协同机制、度量指标，第8页）
本节参考来源（第1页）
以下均为真实可查的权威来源（执法机关通报、标准组织、学术论文、厂商公开披露），用于支撑本页事实性表述；涉统计数字均标注披露主体与口径。
M. Antonakakis 等《Understanding the Mirai Botnet》（USENIX Security 2017）：usenix.org/conference/usenixsecurity17。
美国司法部Mirai案通报：被告认罪（2017年12月，justice.gov/opa/pr）；量刑通报（2018年9月，同前）。
Akamai披露：为Krebs on Security缓解620+ Gbps攻击（2016年9月，公开报道口径）；GitHub遭1.35 Tbps Memcached放大攻击事件说明（2018年3月，Akamai官方博客）。
Google Cloud《Google mitigated the largest DDoS attack to date, peaking above 398 million rps》与《How it works: The novel HTTP/2 “Rapid Reset” DDoS attack》（2023年10月10日协调披露）：cloud.google.com（398M rps披露）；Cloudflare技术解析：blog.cloudflare.com（2.01亿rps）；AWS安全公告AWS-2023-011（1.55亿rps口径）：aws.amazon.com/security/security-bulletins；CVE-2023-44487官方条目：nvd.nist.gov。
美国司法部Operation Duck Hunt通报（2023年8月29日）：justice.gov/opa/pr；欧洲刑警组织相关行动通报：europol.europa.eu/media-press/newsroom。
US-CERT Alert TA14-017A《UDP-Based Amplification Attacks》（2014年更新版）：cisa.gov/news-events/alerts。
AWS Shield《Threat landscape review》系列报告（披露2020年2月2.3 Tbps缓解案例）：aws.amazon.com/shield；Microsoft安全博客Azure DDoS年度回顾（披露2021年11月3.47 Tbps缓解案例）。
《中华人民共和国网络安全法》（2017年施行）第27条；《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号），court.gov.cn。
360 Netlab《Mozi, a P2P Botnet》披露（2019年）：blog.netlab.360.com；Qrator Labs关于Yandex遭2180万rps攻击的分析（2021年9月，公开博客）。