01 · 为什么必须测绘
僵尸网络治理面临一个基础难题：对手的真实规模不可直接观察。蜜罐看到的攻击只是冰山一角，防火墙日志里的攻击IP只是当天活跃的一小撮，而"感染总量""家族分布""C2存量"等决策必需的数据只能从间接观测中推断。规模测绘（measurement）因此成为连接"防御动作"与"治理决策"的桥梁：
- 对防御方：确定本组织资产是否出现在感染清单中（Shadowserver等机构向网络所有者免费通报其网段内被控设备，是低成本自查渠道）；
- 对运营商：量化网内肉鸡规模以决定近源压制投入；识别开放放大服务与伪造源出口；
- 对监管机构：评估专项行动成效、确定治理优先级、支撑司法协同的证据链；
- 对研究者：检验学术工具链（如ZMap等互联网扫描器的有效性），产出可复现的测量文献（USENIX Security 2017《Understanding the Mirai Botnet》即以多源观测交叉验证Mirai规模与行为）。
02 · 蜜罐体系：工具、部署与数据价值
2.1 交互等级与选型
| 类型 | 原理 | 数据价值 | 风险与成本 |
|---|---|---|---|
| 低交互蜜罐 | 模拟服务协议栈与登录界面（无真实系统） | 捕获扫描、爆破字典、载荷样本、攻击源分布；部署简单 | 易被指纹识别（协议实现细节），反制价值有限 |
| 高交互蜜罐 | 提供真实系统供攻击者深入操作 | 可观察完整攻击链、工具、横向手法、C2指令 | 逃逸与跳板风险高，须严格网络隔离与出入站审计 |
| 混合型蜜场 | 低交互广撒网+高交互精养鱼，统一管理平台 | 兼顾覆盖面与深度 | 需要运维投入与数据管道 |
2.2 主流开源工具（均可公开查证）
| 工具 | 定位 |
|---|---|
| Cowrie | SSH/Telnet中交互蜜罐（Kippo继任者），模拟登录后文件系统与会话，是IoT口令爆破观测的主力工具 |
| Dionaea | 多协议低交互蜜罐，捕获恶意软件样本与SMB/HTTP/SIP等协议攻击 |
| Conpot | 工控协议蜜罐（Modbus、IEC 104等），用于OT攻击观测（与子课题02蜜罐体系衔接） |
| T-Pot | 德国电信安全部门维护的多蜜罐集成发行版，内置数十种蜜罐与可视化面板 |
| OpenCanary | 轻量守护进程式蜜罐，在真实主机上模拟多服务监听 |
| Honeynet Project | 1999年成立的全球性蜜罐研究社区，发布Know Your Enemy系列技术文献与数据采集规范 |
2.3 蜜罐数据对僵尸网络研究的具体产出
- 口令字典演化追踪：Cowrie类蜜罐持续记录的Telnet/SSH爆破字典，是Mirai系家族"62组默认口令"现象持续演化的第一手数据源（与子课题01默认口令治理直接联动）；
- 新家族发现：Hajime（2016）、Torii（2018）等新家族均由蜜罐异常流量率先发现；
- 攻击强度计量：分布式部署的蜜罐网络可还原扫描源的地域/运营商分布，支撑"感染源头侧"治理（如近源限速策略的靶向设计）；
- 样本与IOC供给：捕获的恶意样本供沙箱分析提取C2地址，反哺sinkhole与封禁清单。
03 · 网络遥测：NetFlow/被动DNS/暗网望远镜
| 遥测手段 | 原理 | 僵尸网络研究用途 |
|---|---|---|
| NetFlow/IPFIX/sFlow | 路由器/交换机导出的流记录（五元组、字节数、时间戳；NetFlow v9见RFC 3954，IPFIX见RFC 7011，sFlow见RFC 3176） | 识别肉鸡出站信标（固定间隔连接）、DDoS攻击的出方向异常、扫描行为；运营商级近源监测的基础数据源 |
| 被动DNS（Passive DNS） | 旁路记录递归解析器的查询—响应历史（概念由Florian Weimer于2004年前后提出） | DGA域名发现、Fast-Flux检测、C2域名历史解析回溯、sinkhole效果验证 |
| 暗网望远镜（Network Telescope） | 监测未分配给主机的整段地址空间中收到的流量（背景辐射） | 观测蠕虫扫描、DDoS反射流与伪造源攻击的宏观规模；UCSD Network Telescope与CAIDA长期提供此类公开研究数据 |
| 互联网扫描（授权研究） | ZMap（USENIX Security 2013）等扫描器对全IPv4空间的高速探测；Shodan（2009年创立）、Censys（2015年起）提供持续观测服务 | 量化开放放大服务（第4页放大面）与高危IoT服务的暴露面；ZMap论文报告千兆网卡下约45分钟即可完成一次全IPv4扫描（2013年口径） |
| 证书透明度日志（CT） | 公开可查询的TLS证书发行日志（RFC 6962） | C2新证书/新域名的早期发现、证书复用聚类 |
| BGP与路由观测 | 路由表与BGP更新监测（如RouteViews、RIS） | Fast-Flux基础设施的路由特征、劫持与异常宣告分析 |
04 · C2追踪与Sinkhole方法
- 被动观测优先：通过被动DNS与NetFlow还原C2基础设施（域名—IP—证书—流量的关联图谱），避免惊动运营者；多源数据交叉是归因与规模判断可信度的根基。
- Sinkhole（沉洞）：在获得域名注册商/注册局或执法授权后，将僵尸网络域名解析重定向至受控服务器，实现三重效果——切断控制、量化规模（回连设备计数）、收集情报（设备指纹与地域分布）。Conficker、GOZ、Avalanche、Emotet等案例均以此为核心手段（第3、7页）。
- 合法路径：注册商协作、法院命令（美国案例）、执法主导的国际协同；未经授权的接管存在法律风险且可能破坏证据链（第8页合规讨论）。
- 商业情报服务：Team Cymru等机构基于NetFlow为运营商提供网内肉鸡通报服务；Shadowserver Foundation长期免费向网络所有者通报其网段的暴露服务与被控设备，是全球暴露面治理的重要公益基础设施。
05 · 规模估计方法学与偏差控制
5.1 主要估计方法
| 方法 | 思路 | 系统性偏差 |
|---|---|---|
| 蜜罐捕获外推 | 以蜜罐捕获的攻击源数量按暴露比例外推全网 | 视角偏差（ vantage point ）：蜜罐IP段、地域、运营商分布决定"看见谁" |
| Sinkhole回连计数 | 接管C2后统计回连的独立设备 | 只统计"存活且可达"设备；NAT聚合多个设备为一个公网IP；动态IP重复计数 |
| 互联网扫描比对 | 扫描识别暴露服务/特征横幅并计数 | 仅见"暴露面"而非"已感染"；识别指纹可被封对抗 |
| 运营商NetFlow推断 | 按网内观测比例外推全网 | 单运营商覆盖偏差；加密流量下内容不可见 |
| 捕获—再捕获（Capture-Recapture） | 借鉴生态统计学，用两个独立观测源的重叠度估计总量 | 要求两源独立性假设成立，实际难以严格满足（学术界持续讨论） |
5.2 偏差控制原则
- 多源交叉验证：任何单一来源的规模数字都必须经至少两种独立方法交叉检验后方可引用；USENIX Security 2017 Mirai论文的权威地位正来自其多源观测设计。
- 口径声明：报告感染规模时必须注明统计口径（独立IP？独立设备？某时间窗活跃值？）、观测时间段与数据源，杜绝跨口径比较。
- 趋势重于绝对值：对治理决策而言，规模变化的方向与速率比绝对数字更可靠、更有行动价值。
06 · 情报生产与共享闭环
威胁情报生产—消费闭环
从原始遥测到行动决策的六步流水线
说明：流水线各环节的指标设计见第8页度量体系。STIX/TAXII为MITRE/OASIS制定的威胁情报结构化与传输标准；MISP为CIRCL维护的开源威胁情报共享平台。
- 标准与平台：STIX（结构化威胁情报表达）与TAXII（传输协议）由OASIS维护；MISP是应用最广的开源情报共享平台之一；国内实践中CNCERT的监测通报体系与CNVD平台承担国家级情报汇聚职能。
- 共享社区：FIRST（事件响应与安全团队论坛，1990年成立）及其成员组织构成全球CSIRT协作网络；行业ISAC（信息共享与分析中心）模式在金融、能源等行业成熟应用。
- 情报质量评估：采用准确性、时效性、可操作性、来源可信度四维评估；对"僵尸网络规模"类情报一律要求披露口径与方法（见5.2）。
07 · 数据合规边界
- 授权边界：主动扫描、蜜罐诱导与测绘研究须遵守《网络安全法》《数据安全法》及目标网络授权要求，不干扰他人网络正常运行；面向境内目标的测绘行为应关注监管要求。
- 个人信息保护：蜜罐会话、被控设备日志中可能含账号口令、个人文件索引等信息，应按《个人信息保护法》最小必要原则处理，分析后脱敏与销毁。
- 跨境协同：参与国际情报共享时遵守数据出境相关法规；sinkhole接管等处置动作在国内仅由有权机关实施，企业与研究机构限于"发现—报告—配合"。
- 研究伦理：不公开可被直接利用的C2接管细节、不发布未修复设备清单的可利用信息；测量研究遵循"通知—最小影响—可复现"的学术规范。