01 · 检测问题形式化
设全局BGP事件流为随时间到达的宣告/撤销序列，每条宣告由（时间戳、collector、对等会话、前缀、AS_PATH、ORIGIN等属性）构成。检测目标为：对任一前缀p与时刻t，判定其宣告是否构成劫持、泄露或正常变更，并输出置信度与事件类型。该问题本质是异常检测——没有可供监督学习的完整"恶意宣告"标注集，因此工程上依赖"基线偏离"为主、"行为聚类"为辅的组合方法。所有检测输出必须附带时序证据（首次/末次观测、观测collector集合），供人工研判与自动分级使用。
方法论立场：本课题不追求"全自动判定恶意"，而是追求"高召回初筛 + 高精度分级 + 可解释证据链"。任何宣称100%自动区分恶意/误配的检测方案均不严谨——二者的网络表象在单事件层面不可区分，必须依赖历史行为序列（第5页惯犯画像）与外部证据交叉。
02 · 第一层：起源一致性基线检测
最基础也最有效的检测：为每个重点前缀维护"合法起源AS集合"基线，任何基线外起源的宣告即触发告警。基线来源按可靠性排序：
- RPKI ROA：密码学强度最高的授权依据（RFC 6482/6811）。局限：覆盖率不完整——按前缀计2024年全球约54%获ROA覆盖（RIPE Labs年度回顾口径），且仅覆盖起源不覆盖路径；
- IRR注册数据（RPSL as-set/route对象）：覆盖面广但准确性依赖注册者维护纪律，长期失修问题突出；
- 历史观测基线（pfx2as等派生数据）：从长期RIB快照统计前缀的稳定起源AS——对未注册ROA/IRR的前缀是主要手段，但存在"被劫持时间长了反被当成基线"的风险，需设置基线更新冷却期；
- 运营者自申报：对本组织资产最可靠，应作为自有监测的第一优先级基线。
2.1 子前缀检测
对于"宣告比基线前缀更长"的事件，单独规则处理：合法deaggregation存在但比例有限。增强判据包括——更具体前缀是否精确覆盖目标的关键地址段；是否与已知劫持ASN关联；宣告持续时间（攻击者倾向维持到目标达成，误配常被发现后迅速撤销）；RPKI状态（有效ROA的maxLength配置可识别部分非法sub-prefix，详见课题03）。
2.2 更细粒度前缀的特殊性
观测盲区警示：/24及更短的前缀是收集器会话与运营商过滤的"灰色地带"：不少网络默认过滤长于/24的宣告，collector侧同样如此。Sub-prefix劫持可能只在部分观测点可见，检测规则必须声明"不可见≠未发生"，对重点目标建议叠加主动探测（如RIPE Atlas traceroute测量计划）交叉验证。
03 · 第二层：MOAS冲突治理
MOAS冲突是起源检测的主要误报源。Zhao等（SIGCOMM CCR 2001）最早系统分析MOAS现象：大量冲突是合法的。治理手段为"合法MOAS知识库 + 冲突模式规则"：
- 合法场景清单：任播前缀（CDN、DNS公共服务）、多归属企业（不同上游宣告带来多个起源观测）、AS迁移窗口（新旧ASN短暂并存）、联盟/姊妹AS共同运营；
- 抑制规则：已知合法MOAS对（prefix, AS集合）直接白名单并定期复核；长期稳定冲突自动转基线（设冷却期）；
- 冲突结构分析：合法多归属通常表现为"多个起源AS共享相同上游集合"，而劫持常表现为"全新AS以全新上游组合宣告，且被劫持目标的合法宣告仍正常运行"；
- 传播模式：合法冲突多呈渐进扩散，劫持常呈"突发+高扇出"（单事件被大量collector快速观测）。
04 · 第三层：路径异常分析（泄露与路径操纵检测）
起源检测对泄露与AS_PATH操纵天然不敏感，需路径层分析。核心工具是AS商业关系推断（Gao 2001算法及CAIDA持续发布的关系数据集，关系分为provider-customer与peer-peer）：
- Valley-free违规：正常商业拓扑中路径呈"上行（向provider）→可选peer→下行（向customer）"的无谷结构；出现"peer→peer"再上行等模式的宣告即标记为疑似泄露；
- 关系突变：某AS对在长期数据中从未互为上下游，突然出现 Transit 关系（A的路径经B到达B的customer之外的目的地），是高价值泄露信号；
- OTC属性核查（前瞻）：随着RFC 9234部署推进，带OTC属性的路由被继续向外传播将构成机器可判定的违规，检测系统应预留该特征的解析与规则位；
- 路径长度与构成异常：与历史基线相比的AS_PATH长度突增/突缩、出现不应出现的tier-1 transit、私有ASN/保留ASN混入等结构性异常。
05 · 第四层：统计与机器学习增强
前述规则层之外，统计特征与机器学习方法用于两类任务：告警降噪与行为画像。
5.1 事件级统计特征（用于告警评分）
- 宣告持续时间、观测collector数量与地理/拓扑分布、撤销前存活周期；
- 同源AS的并行宣告数量（一次性宣告大量无关前缀=高风险）；
- 目标前缀的价值特征（银行/政府/邮箱/DNS服务前缀加权）；
- 历史频率：该AS过去是否触发过告警（接入Testart等IMC 2019的惯犯画像特征：劫持前缀数量、劫持总时长、目标多样性、ASN"新旧"程度）。
5.2 方法族谱
| 方法族 | 代表思路 | 适用性与局限 |
|---|---|---|
| 规则+基线偏离 | 起源/前缀长度/路径结构规则（本页§02—§04） | 可解释、低漏报基线；误报依赖知识库维护，无法覆盖未知模式 |
| 无监督异常检测 | 对宣告行为做聚类/离群分析（如AS行为向量偏离其历史簇） | 可发现未知模式；对噪声敏感，需与规则层联合使用 |
| 监督分类 | 对已确认事件提取特征训练分类器 | 精度上限高；受限于标注数据规模与分布漂移，需持续再训练 |
| 行为画像（序列层） | 对ASN长期行为建模，识别惯犯（serial hijacker）与"断租/被黑"ASN | 归因价值高；时间窗口长，不适合单事件实时判定 |
5.3 对抗性手法与检测绕过（攻击者视角）
- 预热宣告（announce-and-hold）：攻击者提前数小时至数天宣告目标前缀并维持“看似正常”的状态，诱使基线机制将其纳入合法集合——对策：基线更新设置冷却期，对“新起源AS”维持不少于72小时的观察标签；
- 低频慢速劫持：避开“突发+高扇出”特征，以低频、短时、小规模方式实施——对策：不过度依赖触发阈值，引入长期行为序列特征（画像层）；
- 借道合法上游：通过被入侵或被利用的上游AS宣告，使RPKI验证呈现NotFound而非Invalid（当目标无ROA时）——对策：RPKI状态仅为特征之一，不可单独作为放行依据；
- 路径伪装：伪造AS_PATH使恶意路径看似经过合法tier-1——对策：关系推断与cone突变检测（§04）；
- 优先选择无ROA目标：从未签署ROA的前缀无法被ROV拦截——对策：防御侧推动ROA签署，检测侧对“无ROA且高价值”前缀提高监测等级。
06 · 实时检测系统架构案例
| 系统 | 要点 |
|---|---|
| ARTEMIS | FORTH研究所团队研发并开源（ACM IMC 2017论文）：面向网络运营者的自主劫持检测与缓解系统，基于自有网络的BGP会话实时数据+公共collector数据做交叉验证，强调"检测—确认—缓解（如 announcements 对抗）"分钟级闭环，是学术原型转化为运营工具的标杆 |
| BGPalerter | NTT开源的BGP监测软件：对接RIS/RouteViews数据流，内置规则引擎（前缀劫持、路径长度异常、可见性丧失、ROA变动等），面向中小网络提供开箱即用的告警能力，适合作为本课题工程原型的基座 |
| 商业监测服务 | 多家CDN/安全厂商与专业服务商提供劫持监测告警；本课题定位与其互补——侧重方法论研究、离线深度复盘与自有管道建设 |
07 · 误报治理与置信度分级
- 告警分级：低（纯基线偏离，批量归档观察）、中（叠加结构特征异常，队列化人工复核）、高（多源确认+高价值目标+惯犯ASN，即时推送）；
- 抑制策略：白名单分级（永久/定期复核/事件级临时），白名单必须带过期时间，防止"合法化漂移"；
- 度量指标：检测时延（宣告→告警）、初筛召回率（抽样回放历史事件）、复核转化率（告警中确认事件占比）、漏报复盘机制（外部披露事件回放进管道验证）；
- 反馈闭环：人工研判结论结构化回流（确认/误报+原因标签），驱动规则与评分模型迭代——这是检测系统长期保持精度的唯一途径。
本节参考来源（第4页）
Sermpezis P., Kotronis V., Gigis P., Dimitropoulos X. 等《ARTEMIS: Neutralizing BGP Hijacking within a Minute》（ACM IMC 2017）：doi.org/10.1145/3131365.3131379。
NTT BGPalerter开源项目：github.com/nttgin/BGPalerter。
Zhao X. 等《An Analysis of BGP Multiple Origin AS (MOAS) Conflicts》（ACM SIGCOMM CCR 2001）。
Testart C. 等《Profiling BGP Serial Hijackers》（ACM IMC 2019）：doi.org/10.1145/3355369.3355581。
IETF RFC 6482 / 6811（RPKI起源验证）、RFC 9234（BGP角色与OTC）：见第2页参考来源，此处不重复列示。
Gao L.《On Inferring Autonomous System Relationships in the Internet》（IEEE/ACM ToN 2001）；CAIDA AS Relationships数据集：caida.org/catalog/datasets/as-relationships。