01 · 研究背景与意义
1.1 BGP协议的设计信任假设及其结构性缺陷
BGP-4协议最初由Cisco的Yakov Rekhter与Kirk Lougheed于1989—1994年间设计实现，1994年发布的RFC 1654首次标准化BGP-4，现行规范为2006年发布的RFC 4271。BGP解决了不同自治系统之间大规模交换可达性信息的问题，但其安全模型建立在两个脆弱假设之上：
- 假设一：每个AS只宣告自己合法拥有的前缀。协议层面对宣告前缀与宣告者之间的归属关系不做任何密码学校验——"我说这个前缀是我的，你就当它是我的"。
- 假设二：每个AS在传播路由时遵守其商务关系约束。协议不区分"客户—提供商""对等体—对等体"等关系，一条路由理论上可以被传播给任何邻居。
在商用互联网早期规模较小、参与者相互熟识的背景下，这两个假设尚可维持；而当全球公开可见AS数量增长到约74000个（CAIDA AS Rank及运营方统计的长期趋势量级）、全球IPv4 BGP路由表条目已突破100万条（2024年约95万—97万条、2025年突破100万条）、单个前缀可能被数千个AS同时宣告时，任何一次配置错误、设备故障或恶意操作，都可能通过BGP的逐跳信任机制被放大为全球性事件。
1.2 路由劫持与路由泄露：两类事件的本质区别
本课题沿用业界通行定义（参见RFC 7908对泄露问题的分析框架及CAIDA/Bprefix相关文献）：
| 事件类型 | 定义 | 典型动机/成因 |
|---|---|---|
| 路由劫持 （Route Hijacking） | 一个AS宣告并非由该AS授权或持有的IP前缀（起源劫持），或伪造/篡改AS_PATH属性使流量沿攻击者指定路径转发（路径劫持）。包含前缀劫持与更具体的子前缀劫持（sub-prefix hijack）。 | 流量窃听/中间人攻击、钓鱼流量重定向、DDoS流量牵引与清洗、加密货币盗窃（如DNS劫持配合）、政治性断网 |
| 路由泄露 （Route Leak） | 一个AS将本不应传播的路由传播给了无权接收该路由的邻居（典型如：把从对等体学来的路由转发给另一对等体或上游提供商，或把客户路由传播给非客户），破坏了BGP的商业关系拓扑约束。 | 配置错误（filter缺失/错配）、BGP策略表达不当、设备故障、出口选择策略bug、部分恶意场景（借泄露之名行劫持之实） |
需要强调：泄露绝大多数是事故，劫持可能是事故也可能是攻击；二者在网络表象上高度相似（都表现为异常AS成为某前缀的新宣告源），这正是检测阶段需要区分的事件分类问题（第4页展开）。
1.3 威胁模型与攻击场景
- 流量黑洞（Blackholing）：攻击者宣告受害者前缀但丢弃所有流量，导致对应网络服务全局不可达。
- 流量窃听与中间人攻击：攻击者宣告受害者前缀并将流量转发回真实目的地（mitm-relay模式），用户在无感知情况下流量被经过攻击者设备——这是路由劫持最危险的形态，需配合伪造或劫持的TLS证书才能解密内容。
- 钓鱼流量重定向：通过劫持权威DNS服务器或目标站点所在前缀的宣告，将用户引导至钓鱼服务器。该模式不依赖邮件/域名层面的社工，传统的URL过滤与域名信誉防御对其无效，是反钓鱼体系中必须关注的"底层通道型"攻击。
- DDoS反射/牵引：将被攻击目标的流量牵引至"清洗"服务商（合法的traffic engineering滥用边界模糊化），或泄露路由导致DDoS防御失效。
- 劫持挖矿/加密货币场景：2019年4月myetherwallet.com事件中，攻击者通过BGP劫持亚马逊Route53的DNS前缀，将用户导向钓鱼站点并盗取加密货币（第6页详述）。
1.4 研究意义
对网络运营者而言，能否在分钟级发现针对自身前缀的异常宣告，直接决定业务中断时长；对安全机构而言，劫持/泄露事件的结构化档案是评估互联网整体健壮性、衡量RPKI等防御机制部署价值的实证基础；对反钓鱼治理而言，路由层溯源能力补全了"域名—URL—IP—AS"证据链的最后一环。本课题以可复现、基于公开数据为原则，构建不依赖任何商业服务的劫持检测与溯源方法论。
核心科学问题：如何从多源、异构、带观测偏差的全球BGP数据流中，以可接受的时延（分钟级告警）与误报率（个位数百分比的可运营告警），识别并区分路由劫持与路由泄露事件，进一步完成影响面量化与来源AS归因，并打通"发现→确认→通报→处置→度量"的闭环？本课题围绕"时效性与数据完整性（KQ-1）、检测准确性与事件分类（KQ-2）、归因置信度与情报转化（KQ-3）"三个关键问题展开。
02 · 研究目标与关键问题
- 时效目标：构建端到端分钟级（<30分钟）的"异常宣告出现→告警触达"管道，覆盖针对重点前缀（自有资产、关键基础设施、高频被劫目标）的实时监测。
- 准确目标：建立分层检测体系，通过基线库、抑制规则与置信度分级，将可运营告警的误报率控制在个位数百分比量级，与团队研判容量匹配。
- 归因目标：对确认事件输出结构化归因报告（源头AS、上游传播路径、置信度等级），支撑MANRS通报与协同处置。
- 闭环目标：与本子课题第7页防御体系、课题06态势感知形成联动，建立事件档案库与可量化度量指标（检测时延、误报率、MTTD/MTTR）。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 数据时效与覆盖 | RouteViews/RIS等收集器存在拓扑观测偏差与更新延迟，如何在控制成本的前提下实现近实时、低缺口的数据采集与多源对齐？ | 第3页 §01—§04 |
| KQ-2 | 检测准确与分类 | 合法MOAS冲突（任播、多归属、迁移窗口）大量存在，如何让"异常宣告"检测不误伤合法场景，同时不漏掉精心构造的劫持与泄露？ | 第4页 §02—§05 |
| KQ-3 | 归因置信与转化 | 攻击者可能通过被控路由器或借道第三方AS发起劫持，如何建立分级置信度的归因模型并转化为可执行处置？ | 第5页 §03—§05 / 第7页 |
03 · 路由安全生态全景
3.1 生态参与方与职责
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 路由收集平台 | 在全球/区域部署BGP会话收集器（collector），持续采集各AS发布的路由表快照与更新流，以MRT等格式公开 | RouteViews（美国，多观测点）、RIS/RIPE NCC（欧洲，RRC系列）、Isolario（意大利学术项目）、PCH（Packet Clearing House） |
| 测量研究机构 | 基于收集数据开发检测算法、事件档案、AS关系与规模画像 | CAIDA（BGPStream、AS Rank、AS关系数据集）、佐治亚理工、FORTH（ARTEMIS系统）等 |
| 监测工具/服务 | 面向运营者的实时劫持告警、路由变更监控 | NTT BGPalerter（开源）、ARTEMIS（开源研究系统）、Cloudflare/HE等提供的公共查询与告警服务 |
| 协调治理组织 | 制定路由安全规范、运行信任锚与注册数据体系、推动协同处置 | 五大RIR（APNIC/ARIN/RIPE NCC/LACNIC/AFRINIC）、IETF（标准）、MANRS倡议（ISOC发起）、各NOC/安全邮件列表 |
| 网络运营者 | 部署前缀过滤、RPKI ROV、监测告警，参与事件协同 | 运营商、IXP、云厂商、内容网络；国内如CERNET（MANRS发起成员之一） |
3.2 领域演进关键时间线
| 时间 | 事件 |
|---|---|
| 1994/1995 | BGP-4首次标准化（RFC 1654，后修订为RFC 1771）；现行规范RFC 4271发布于2006年 |
| 2000—2003 | S-BGP（BBN团队，Kent等）与soBGP（Cisco，White）等路径安全方案提出，因部署复杂度未获规模化采用 |
| 2008-02 | 巴基斯坦电信（AS17557）劫持YouTube前缀事件——迄今最经典的起源劫持案例（第6页复盘） |
| 2012 | IETF发布RPKI核心标准族（RFC 6480—6492）；同年印尼Indosat（AS4761）大规模劫持事件 |
| 2013 | RFC 6811定义BGP路由起源验证（ROV）；2017年RFC 8210更新RTR协议 |
| 2014 | MANRS（路由安全相互协议规范）倡议由Internet Society发起，定义过滤、反欺骗、协作、全球验证四项行动 |
| 2016—2017 | RFC 7908（2016）系统分析路由泄露问题；CAIDA发布BGPStream工具集；BGPsec规范RFC 8205发布（2017）；FORTH团队ARTEMIS系统（IMC 2017）实现分钟级劫持检测 |
| 2018 | Chrome强制要求所有公开信任TLS证书进入CT日志——加密普及加速，路由层作为钓鱼通道的价值凸显 |
| 2018 | myetherwallet.com BGP劫持事件（4月24日，配合DNS劫持的加密货币盗窃，用户损失约15.2万美元） |
| 2019 | 美国东部大规模路由泄露事件（6月24日，DQE经Allegheny Technologies与Verizon传播引发多地服务中断） |
| 2021—2022 | ASPA对象规范RFC 9015（2021）发布；基于BGP角色与OTC属性的泄露防护RFC 9234（2022）发布 |
| 2024-06 | Cloudflare 1.1.1.1遭遇BGP劫持与路由泄露叠加事件（AS267613/AS262504），影响70个国家/地区300多个网络，成为RPKI防御价值的标志性实证（第6页复盘） |
| 2024—2025 | RPKI部署进入规模化阶段：RIPE Labs统计显示2024年底全球路由表约54%前缀获ROA覆盖、ROA总数较2023年增长约49%；美国FCC提出ISP年度BGP安全风险管理计划要求；IPv4全局路由表2025年突破100万条 |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| AS（自治系统） | 由单一管理机构控制、采用统一路由策略的一组网络，由16位或32位AS号（ASN）标识，AS号由五大RIR统一分配 |
| 前缀（Prefix） | 以CIDR形式表示的IP地址块（如203.0.113.0/24），是BGP宣告与劫持操作的基本对象 |
| AS_PATH | BGP路径属性，记录一条路由传播经过的AS序列（倒序：起源AS在最右侧）；既是防环依据，也是选路依据 |
| MOAS冲突 | Multiple Origin AS：同一前缀同时出现多个起源AS宣告；可能源于劫持，也可能是合法的任播/多归属/迁移 |
| Sub-prefix劫持 | 攻击者宣告比合法宣告更具体（更长掩码）的前缀（如/24覆盖/16），利用最长前缀匹配优先原则劫持部分流量 |
| 路由泄露（Route Leak） | 违反AS商业关系拓扑的路由传播（详见第2页§04与RFC 7908问题框架） |
| Prepending | 在AS_PATH中重复插入自身ASN以影响远端选路的合法（但粗糙）的流量工程技术，会干扰基于AS_PATH长度的异常检测，需特殊处理 |
| Collector / Vantage Point | 路由收集器及其观测会话点；不同collector的观测覆盖存在系统性偏差（大型AS、欧美骨干被过度采样） |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "路由泄露=路由劫持" | 错误。泄露指传播关系违规，劫持指起源归属非法（或路径伪造）。二者成因、检测特征与处置对象均不同，但网络表象可能交织（如泄露放大了劫持的影响面）。 |
| "劫持一定是有意攻击" | 错误。大量劫持源于配置错误（如把客户学到的路由原样转发给所有邻居）。学术研究表明劫持事件构成中误配置占比很高，归因时不能预设恶意。 |
| "部署RPKI就能检测并阻止劫持" | 需澄清。RPKI ROV只能验证起源（谁有权宣告该前缀），对路由泄露与AS_PATH操纵无效；且ROV执行与否取决于各运营者的部署意愿，验证结果为NotFound的路由仍不受保护（详见课题02、第7页）。 |
| "BGP表里的前缀越具体越好" | 误导。大范围deaggregation（拆分宣告）会加剧路由表膨胀并扩大劫持攻击面；业界共识是按业务必要性最小化宣告粒度。 |
| "从收集器看到的就是全网真相" | 错误。RouteViews/RIS等collector的会话分布存在偏差，部分区域与小规模AS观测不足；多collector交叉验证与影响面外推需谨慎（第3页§04）。 |
05 · 研究范围与合规边界
- 对象范围：面向全球公共互联网的IPv4/IPv6 BGP宣告事件；重点关注影响面较大、具备公开记录的事件。私有/封闭网络（如部分国家骨干的内部协议）不在本课题范围。
- 深度边界：本课题做到"检测方法论+工程管道+研判运营"层面；BGP协议实现的代码级漏洞分析、对具体厂商设备的渗透测试不在范围。
- 数据边界：仅使用公开路由数据源与公开注册数据（RIR whois/RDAP、IRR、PeeringDB等），不采集、不推断未公开的运营者内部数据。
合规与伦理声明：①本课题全部技术路线以防御为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》及《反电信网络诈骗法》；②RouteViews/RIS等数据源为公开学术数据，采集须遵守各平台的服务条款与速率限制；③文中涉及的劫持手法仅用于理解与构建防御，不提供可直接复用的攻击配置与工具链；④事件归因结论均标注置信度与证据来源，不构成对任何国家、机构或个人的法律指控；⑤对受影响方的通报遵循负责任披露原则。
06 · 与课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 02 RPKI部署测量与效能评估 | 本课题产出劫持/泄露事件档案库，支撑"RPKI部署前后劫持成功率变化"的效能评估；对方提供各区域ROA覆盖率、ROV启用率基线数据用于检测规则的RPKI富化 |
| 03 ROA数据质量分析 | 检测中发现的"合法但无ROA保护"高频前缀清单，可作为ROA签署优先级建议输入；对方提供ROA错误模式样本用于降低检测误报 |
| 04 RPKI基础设施弹性 | 事件档案中记录的RPKI验证失效场景（如证书过期导致合法路由被误标Invalid）输入对方弹性分析 |
| 05 ASPA与路径验证演进 | 本课题的路径操纵事件分类（AS_PATH伪造/泄露类型学）为ASPA与roles/OTC（RFC 9234）的部署价值评估提供实证输入 |
| 06 路由安全态势感知 | 本课题输出结构化事件数据（STIX化IOC：异常宣告前缀、源头AS、时间窗），直接支撑态势指标计算与年度趋势报告 |
07 · 预期成果与交付物
- 《BGP路由劫持检测与溯源方法论》研究报告（含数据源全景、分层检测算法、误报治理规范、归因置信度模型）
- 覆盖多源收集器的监测管道原型（RouteViews + RIS + BGPStream接入，端到端延迟<30分钟）
- 重点前缀基线库与抑制规则集（合法MOAS白名单、任播前缀清单、告警分级规范）
- 路由安全事件案例库（2008—2024年公开事件结构化档案，见第6页）
- 运营度量月报模板与上线检查清单（见第8页）
08 · 研究缺口与开放问题
- 观测覆盖缺口：公共collector对发展中国家与小规模AS的覆盖不足，劫持事件的“全球真实发生率”仍缺乏无偏统计——本课题承认这一系统性限制，不做超出观测口径的全局推断。
- 意图判定的理论缺口：学术界尚无可靠的单事件意图判别方法，“误配置/蓄意攻击”的区分依赖长期行为证据；自动化归因（含AI生成结论）的准确性边界与表述伦理尚未在学界确立，本课题坚持人工复核高置信结论。
- ASPA过渡期的窗口风险：ASPA验证依赖路径两侧配合部署，早期部署者面临“验证范围不完整导致的假阴性”问题；过渡期策略（标记观察而非直接丢弃）的工程研究尚不充分，列为课题05的重点议题。
- IPv6检测方法的不对称：IPv6路由表规模更小但ROA覆盖率与collector观测密度更低，现有检测方法在IPv6场景的误报特性缺乏系统评估，列为后续测量议题。
- 控制面—数据面联动缺口：纯控制面检测无法确认“劫持是否实际截获了流量”；数据面交叉验证（Atlas/traceroute/NetFlow）的自动化编排成本高，是监测工程化的主要难点。
本节参考来源（第1页）
以下均为真实可查的权威来源（IETF标准原文、CAIDA等学术机构、运营方官方报告），用于支撑本页事实性表述。
IETF RFC 4271《A Border Gateway Protocol 4 (BGP-4)》（2006年1月，废黜RFC 1771/1654）：rfc-editor.org/rfc/rfc4271。BGP-4现行规范，定义消息类型、路径属性与决策过程。
IETF RFC 7908《Problems with BGP Route Leaks》（2016年6月）：rfc-editor.org/rfc/rfc7908。系统梳理路由泄露的类型、成因与影响。
CAIDA AS Rank：asrank.caida.org；CAIDA全球互联网拓扑统计长期观测：caida.org。AS规模排名与宏观统计。
RouteViews项目：routeviews.org；RIPE NCC RIS：ris.ripe.net；Isolario：isolario.it；PCH：pch.net。
BGPStream（CAIDA）：bgpstream.caida.org；RIPE NCC ris-live：ris-live.ripe.net。
MANRS（路由安全相互协议规范）：manrs.org。四项核心行动：过滤、反欺骗、协作、全球验证。
Sermpezis P. 等《ARTEMIS: Neutralizing BGP Hijacking within a Minute》（ACM IMC 2017）：doi.org/10.1145/3131365.3131379。分钟级劫持检测与缓解系统。
Testart C. 等《Profiling BGP Serial Hijackers: Capturing Persistent Misbehavior in the Global Routing Table》（ACM IMC 2019）：doi.org/10.1145/3355369.3355581。对反复劫持者的画像研究。
Cloudflare官方博客：1.1.1.1劫持事件报告（2024年6月）：blog.cloudflare.com；Kent等S-BGP论文（IEEE JSAC 2000）、Gao《On Inferring Autonomous System Relationships》（IEEE/ACM ToN 2001）、Zhao等MOAS冲突分析（ACM SIGCOMM CCR 2001）为领域经典文献。