01 · 归因目标与固有难度
归因要回答的并非简单的"哪个ASN出现在AS_PATH里"，而是三个递进问题：技术源头（哪个AS发起了异常宣告）、传播放大者（哪些AS未尽过滤义务导致事件扩散）、操作主体（背后是人、组织还是国家行为体）。三者置信度依次递减，必须分级表述。
固有难度来自：其一，BGP无身份机制——宣告可以来自被配置错误的合法路由器，也可以来自被入侵的路由器或被"借用"的ASN（断租ASN被新持有者续用）；其二，单事件层面恶意与误配不可区分；其三，地缘归因（ASN注册国≠操作者所在国≠攻击来源国）。
归因纪律（本课题铁律）：任何对外输出只表述到"技术源头AS + 证据链 + 置信度等级"；对"国家背景""APT组织"等表述，除非有司法级证据，一律不写入自动化报告。第6页案例库中涉及国家归属的描述均为原始公开报告的口径转述。
02 · 溯源证据链构建
2.1 关键技术要点
- 最早宣告定位：以多collector对齐时间戳中最早的UPDATE为准，避免把"传播者"误判为"源头"；
- 直接上游识别：源头AS的直接上游通常是事件链条中最易联系的处置点（要求其撤销或过滤）；
- 新旧ASN判别：ASN首次注册时间极短（数周内）且立即发起劫持，是Testart等IMC 2019画像中的强特征；断租ASN（previous holder drop）需查注册历史；
- 关系一致性：源头AS与被劫持前缀的所有者是否可能存在商务关系（客户/同集团）——存在合理解释时显著下调置信度；
- 历史行为回放：该ASN过去是否触发过同类事件，事件中目标选择是否有规律（集中针对金融/加密/Webmail）。
2.2 常用外部数据源
| 数据源 | 用途 |
|---|---|
| RIR RDAP/WHOIS | ASN与前缀注册人、注册时间、注册国、滥用联系方式（abuse-c） |
| IRR（RADB等） | AS声明的as-set/路由对象，核验宣告是否在注册授权范围内 |
| PeeringDB | ASN自报的互联信息、IX参与情况、运营者类型（内容/接入/企业） |
| CAIDA AS Rank / AS关系 | AS规模排名（cone大小）、推断的商业关系，用于"该transit是否合理"的判断 |
| IX公开成员列表 | 辅助确认ASN的物理互联存在性 |
| 被动DNS/证书透明度日志 | 被劫持前缀上的域名/证书活动变化，用于判断劫持是否被"投入使用"（反钓鱼联动证据） |
2.3 证据保全
事件确认后应立即固化证据：①原始MRT文件与ris-live消息留档（含SHA-256哈希与时间戳）；②RIPEstat等外部查询的截屏与查询时间记录；③RDAP/WHOIS查询结果快照（注册数据可能被事后修改）；④与上游/NOC的沟通记录存档。证据保全既支撑复盘与规则迭代，也为涉及法律程序的事件（如myetherwallet类案件）保留司法协作所需的原始材料。
03 · 惯犯ASN行为画像
Testart等（ACM IMC 2019）对全球路由表中"惯犯劫持者"（serial hijackers）的开创性画像研究表明：少数ASN反复实施劫持，具有稳定可识别的行为特征。本课题吸收其特征框架并本地化：
- 强度特征：历史劫持前缀数量、累计劫持时长、目标前缀多样性；
- 形态特征：劫持宣告的存活周期分布（"打游击"式短时劫持 vs 长期占用）、并发宣告峰值；
- 身份特征：ASN注册时长、注册信息完整度、是否使用断租ASN、上游数量与稳定性；
- 目标特征：目标行业分布（金融、邮箱、DNS、加密货币）、是否针对高价值可变现目标；
- 画像产出：ASN风险评分（0—100）+ 风险标签（惯犯/可疑/正常/未知），供检测层加权（第4页§5.1）与通报分层使用。
04 · 影响面量化方法
影响面量化必须声明口径。推荐三级指标：
| 层级 | 指标定义 | 数据支撑 |
|---|---|---|
| 观测面 | 事件被多少collector/对等会话观测到；最早/最晚观测时间 | 接入日志（客观可复核） |
| 控制面 | 采纳异常路由的对等会话比例；受影响AS数量（按观测口径声明）；受影响国家/地区数 | 多collector对齐结果；谨慎外推 |
| 用户面 | 可达性变化（RIPE Atlas探针ping/traceroute）、DNS解析偏移、服务可用性 | 主动测量；外部披露报告 |
口径纪律：对外引用影响面数字时，必须注明"观测口径+外推假设"。例如2024年Cloudflare事件的"70个国家/地区300多个网络"为Cloudflare官方博客披露口径，本课题案例库原样引用而非自行估算放大。
05 · 置信度分级模型
| 等级 | 判据（须全部满足） | 允许表述 |
|---|---|---|
| 确认 （Confirmed） | 多collector对齐的最早源头明确；无合法关系解释；目标方或RIR/上游书面确认；或源头AS事后发布事件报告承认 | "X AS于T时刻宣告Y前缀，构成劫持" |
| 很可能 （Probable） | 源头与传播链完整；无合理关系解释；符合惯犯画像特征中的至少两项 | "高度疑似X AS发起的劫持" |
| 可能 （Possible） | 检测到异常且基线外，但存在替代解释（如可能的迁移窗口、未更新注册） | "检测到针对Y前缀的异常宣告，来源待确认" |
06 · 通报与表述纪律
- 通报对象分级：自有资产受害→内部应急响应；客户/伙伴受害→定向通报；公共事件→MANRS社区渠道、NOC邮件列表、反钓鱼工作组联动（若事件服务钓鱼目的）；
- 内容最小集：事件时间窗、涉及前缀与ASN、证据链摘要、置信度等级、建议处置（上游过滤/RPKI核查/监控观察）；
- 禁止事项：无证据的归因表述、未脱敏的个人信息、可被复用的攻击操作细节；
- 跟进闭环：通报后跟踪上游处置动作（异常宣告撤销时间），更新事件档案（第6页）并计入月度度量（第8页）。
本节参考来源（第5页）
Testart C. 等《Profiling BGP Serial Hijackers》（ACM IMC 2019）：doi.org/10.1145/3355369.3355581。
PeeringDB：peeringdb.com；CAIDA AS Rank：asrank.caida.org；CAIDA AS关系数据集：caida.org/catalog/datasets/as-relationships。
各RIR注册数据服务（APNIC/ARIN/RIPE NCC/LACNIC/AFRINIC的RDAP/WHOIS与IRR查询入口），如RIPE Database：ftp.ripe.net、RIPE Database查询：ripe.net；RADb：radb.net。
RIPE Atlas：atlas.ripe.net；Cloudflare 1.1.1.1事件官方报告（2024年6月，影响面口径出处）：blog.cloudflare.com。