01 · 治理框架总览：技术、司法、市场三位一体
综合第3、7页的案例规律，单一维度的治理都无法根除僵尸网络与DDoS威胁。本课题提出"三位一体"治理框架：
- 技术治理（止血与免疫）：暴露面收敛、默认口令与固件治理（子课题01）、分层协同防御（第6页）、测绘监测与情报闭环（第5页）——压缩攻击资源池、提升攻击成本。
- 司法治理（追责与威慑）：刑事追责、基础设施接管、跨境执法协同（本节展开）——抬高运营风险、摧毁组织能力。
- 市场治理（断链与塑形）：打击Booter需求侧（PowerOFF模式）、压缩代理/载荷投递的变现链、以采购侧牵引"默认安全"（如美国CISA《Secure by Demand》对采购方的指引思路）——瓦解黑产生态的经济基础。
核心判断：三者的边际效用在不同治理对象上分布不同——对集中式DDoS家族（Mirai系），技术+司法见效快；对载荷服务型家族（Emotet/Qakbot），市场断链（打击下游分账）收益最大；对反射放大问题，技术治理（BCP38+开放服务收敛）是唯一根治路径。治理投入应按对象分配，而非平均用力。
02 · 国内法律框架
| 法律/规范 | 与本课题相关的核心条款 |
|---|---|
| 《网络安全法》（2017年施行） | 第27条：禁止非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动（DDoS攻击的直接禁止性规定）；第63条：尚不构成犯罪的，由公安机关没收违法所得并拘留、罚款 |
| 《刑法》第285条 | 非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪（第2款，控制肉鸡的定罪依据）；提供侵入、非法控制计算机信息系统的程序、工具罪（第3款，2009年《刑法修正案（七）》增设） |
| 《刑法》第286条 | 破坏计算机信息系统罪：对系统功能进行删除、修改、增加、干扰，造成系统不能正常运行——DDoS攻击的主要罪名；后果特别严重的处五年以上有期徒刑 |
| 《刑法》第287条之一、之二 | 非法利用信息网络罪；帮助信息网络犯罪活动罪（2015年《刑法修正案（九）》增设）——为DDoS平台提供技术支持、广告推广、支付结算等帮助行为的定罪依据 |
| 两高司法解释（法释〔2011〕19号） | 《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》：明确破坏计算机信息系统功能"后果严重/特别严重"的量化认定（涉及受影响系统数量、不能正常运行时长等），并规定明知他人实施相关犯罪而提供破坏程序、工具或互联网接入、服务器托管、网络存储、通讯传输等技术支持的共犯认定路径 |
| 两高司法解释（法释〔2019〕15号） | 《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（2019年11月1日施行）：细化帮信罪"明知"的认定情形（如收到监管告知后仍继续提供服务、交易价格明显异常等），为打击DDoS平台上下游提供裁判依据 |
| 《关键信息基础设施安全保护条例》（2021年9月施行） | 要求关基运营者落实"同步规划、同步建设、同步使用"的安全保护措施；DDoS防御与应急演练属合规建设的直接组成部分 |
| 《数据安全法》《个人信息保护法》（2021年施行） | 治理过程中的采集数据（蜜罐日志、NetFlow、被控设备信息）须履行数据安全与个人信息保护义务；《网络数据安全管理条例》（2025年1月1日施行）进一步细化网络数据处理者的义务 |
合规红线提示：①企业内部开展蜜罐、测绘与sinkhole研究必须限定在自有/授权网络，接管他人域名或向僵尸网络"反制"仅属执法与监管职权；②为打击目的获取的样本与数据不得违规对外提供；③《刑法》第286条同时约束"干扰他人网络正常功能"的行为——防御动作（如自动封禁脚本、近源限速）若误伤他人网络，同样可能产生法律责任，防御自动化须有护栏与审计。
03 · 国际治理机制
| 机制 | 说明 |
|---|---|
| 《网络犯罪公约》（布达佩斯公约，ETS No.185） | 欧洲委员会2001年通过、2004年生效，首个国际网络犯罪刑事司法协助框架，将非法侵入、干扰数据与系统（涵盖DDoS类行为）列为可引渡罪行并建立24/7网络联络点机制；第二附加议定书2022年通过以提升电子证据跨境获取效率。该框架是Waledac、GOZ、Emotet等跨境打击行动的法律基础之一 |
| 欧洲刑警组织EC3与Eurojust | EC3（2013年成立）协调成员国打击网络犯罪联合行动（Avalanche、Emotet、PowerOFF等）；Eurojust负责跨境刑事司法协同与联合调查组的法律架构 |
| INTERPOL全球网络犯罪计划 | 支撑成员国能力建设和行动协同（如针对僵尸网络基础设施的多国行动） |
| FIRST与TF-CSIRT | FIRST（1990年成立）汇聚全球事件响应团队，运营事件响应协作与信任框架；TF-CSIRT（欧洲学术与研究网络社区）支撑CSIRT能力共建 |
| 欧盟NIS2指令（2022年通过） | 要求成员国指定关键部门实体落实网络安全风险管理与事件报告义务（含重大DDoS事件的通报要求），将关键基础设施DDoS韧性纳入法域治理 |
| 治理难点 | 管辖权冲突、引渡障碍、证据标准差异、部分法域对网络犯罪的"庇护"效应，决定了跨境打击周期长、成本高——这恰是僵尸网络运营者将C2与基础设施分布在多法域的原因，也是"摧毁—重建"循环的制度性根源 |
04 · 多主体协同机制设计
| 主体 | 治理职责 | 关键动作 |
|---|---|---|
| 设备厂商 | 消除设备先天缺陷 | 默认口令强制修改、安全启动、漏洞响应与EOL策略（子课题01） |
| 基础电信运营商 | 近源压制与骨干治理 | 骨干清洗、伪造源过滤（BCP38）、放大端口限速、肉鸡网段通报 |
| 云与平台厂商 | 清洗能力与生态治理 | Anycast清洗、滥用检测（云资源滥用）、Booter平台清理 |
| 监管机构/应急组织 | 态势感知、通报协调、执法 | 监测通报体系、专项行动、跨境协同、标准制定 |
| 企业/机构用户 | 自身防御与"不贡献肉鸡" | 分层防御建设（第6页）、内网设备失陷自查、应急演练 |
| 研究机构/社区 | 测量、工具与方法学 | 蜜罐与测绘数据、开源工具链（第5页）、披露规范 |
- 信息共享设计：建立"采集—脱敏—分级（TLP）—共享—反馈"的情报流转规范（STIX/TAXII/MISP，第5页）；对内明确情报消费的处置责任人与时限。
- 处置权限矩阵：事前书面化各主体在不同场景下的授权与动作边界（如运营商能否对肉鸡IP限速、云平台能否冻结滥用账号、企业能否执行RTBH），避免事件中的授权空转。
- 升级路径：企业发现大规模攻击证据链时，按"内部响应—运营商/云厂商联动—CNCERT通报—公安报案"路径逐级升级，保留完整日志证据。
05 · 组织级实施路线图
四阶段实施路线
时间窗为建议值，可按组织规模调整
说明：各阶段动作与第5、6页技术细节及第6节度量指标对应。
| 合规/标准依据 | 映射控制项 | 本课题章节 |
|---|---|---|
| 《关键信息基础设施安全保护条例》"三同步" | 抗D能力随业务同步规划建设 | 第6页 |
| 等级保护2.0（GB/T 22239-2019）安全通信网络/安全区域边界 | 流量清洗、边界防护、入侵防范要求 | 第6页 |
| 网络安全事件应急预案要求 | DDoS专项预案、演练与报告机制 | 第6页06节 |
| 《个人信息保护法》《网络数据安全管理条例》 | 监测数据合规处理 | 第5页07节 |
06 · 度量指标体系
| 指标 | 定义 | 目标方向 |
|---|---|---|
| 平均检测时间（MTTD） | 攻击开始到被确认的时长 | ↓ 分钟级 |
| 平均缓解时间（MTTM） | 确认到缓解策略生效的时长 | ↓ 预案内化后趋近于0 |
| 缓解成功率 | 攻击事件中业务可用性保持在SLA内的比例 | ↑ 趋向100% |
| 误杀率 | 被误拦截的正常请求占比 | ↓ 并纳入每次复盘 |
| 清洗容量利用率 | 峰值攻击规模/清洗承接容量 | 保持冗余（<50%为佳） |
| 网内肉鸡密度 | 每万IP中活跃失陷设备数（情报+自查） | ↓ 趋向0 |
| 设备解放率 | 已通知并处置的失陷设备/全部失陷设备 | ↑ 治理闭环成效指标 |
| 情报转化率 | 消费情报后落地处置动作的比例 | ↑ 避免情报空转 |
| 预案演练覆盖 | 已演练场景/预案场景总数（含失败分支） | ↑ 年度全覆盖 |
07 · 衔接与展望
- 与子课题体系的闭环：本子课题的蜜罐口令字典反哺子课题01固件治理；C2流量指纹库支撑子课题05平台协议检测；内网肉鸡自查方法与子课题02、03的资产盘点打通——物联网与工控安全的六大子课题在僵尸网络维度形成天然闭环。
- 技术前沿：加密C2的元数据检测、AI辅助的DGA/流量家族识别、P2P网络反制的方法学与法律边界、以及大模型时代僵尸网络内容生成（钓鱼/社工文本自动化）带来的新变量，均为后续研究预留接口（与研究课题总览"AI驱动安全"方向衔接）。
- 治理愿景：以"默认安全"的设备基线（欧盟CRA、美国Cyber Trust Mark、英国PSTI等立法趋势，第3页）压缩肉鸡供给，以BCP38与开放服务治理压缩反射资源，以协同防御消解残余攻击——三者合力，可使DDoS从"互联网常态灾害"降级为"可管理风险"。