00 · 案例总览表
| 时间 | 事件 | 源头AS | 形态 | 一句话启示 |
|---|---|---|---|---|
| 2008-02 | YouTube全球中断 | AS17557（巴基斯坦电信） | 起源劫持（子前缀） | 单条错误宣告经一次未过滤传播即可影响全球 |
| 2010-04 | "15%互联网流量"事件 | AS23724（中国电信相关） | 路由泄露（疑似误配） | 大型transit AS的错误宣告影响面按百分比计 |
| 2012-04 | Indosat大规模劫持 | AS4761（印尼） | 起源劫持（泛洪式） | 误配置同样可造成"劫持"级影响，分类须谨慎 |
| 2017-11 | MainOne泄露波及Google | AS37282（尼日利亚） | 路由泄露（向上） | 泄露路径可穿透国家边界，地缘归因不可想当然 |
| 2018-04 | myetherwallet劫持 | 借道AS10297（eNet） | 起源劫持（DNS前缀） | 劫持+钓鱼=加密货币盗窃，路由层是反钓鱼盲区 |
| 2019-06 | 美国东部大规模中断 | DQE→Allegheny→Verizon(AS701) | 路由泄露（误配+未过滤） | 级联泄露的放大效应：小错误×大transit=大事件 |
| 2020-08 | Google日本服务中断 | Google日本侧配置 | 路由宣告事故 | 连顶级工程组织也无法完全免疫路由事故 |
| 2021-10 | Facebook全球中断约6小时+ | Meta自身 | 路由批量撤销（运维事故） | 路由可观测性是"断网诊断"的第一信号源 |
| 2024-06 | Cloudflare 1.1.1.1事件 | AS267613 + AS262504 | 劫持+泄露叠加 | RPKI部署价值的最强公开实证 |
01 · 2008年 YouTube劫持事件（2008-02-24）
背景与经过：为执行本国法院对YouTube的封锁命令，巴基斯坦电信（Pakistan Telecom，AS17557）尝试在内部以BGP宣告YouTube网段（208.65.153.0/24）的方式实施封锁——这是一起"本意内网生效"的操作。但该宣告被其上游PCCW（AS3491）接受并继续向全球传播，由于宣告的前缀长度与YouTube官方宣告相同而构成替代路径，全球大量网络开始将YouTube流量发送至巴基斯坦，YouTube服务全球性中断约2小时，直至PCCW撤回该路由并恢复过滤。
形态分类：起源劫持（同等长度前缀）；若按动机划分是"误配置型劫持"——这也说明动机推断在网络层不可行。
防御启示：①上游必须对下游宣告执行前缀过滤（MANRS行动1）；②目标方（YouTube/Google）无法单方面阻止他人宣告自己的前缀——这是RPKI存在的根本理由；③本事件是MOAS冲突检测教科书案例：全网突然出现与基线起源AS36561冲突的AS17557宣告。
02 · 2010年 "15%互联网流量"事件（2010-04-08）
经过与影响：AS23724（中国电信体系下的一个自治系统）突然向其对等方宣告了大量本不属于它的前缀（公开报告口径约3.7万条，不同统计存在差异），多家国际大型运营商（包括Sprint、AT&T、NTT等）在约18分钟内将相当比例的全球流量引导至该AS。事件影响约占全球互联网流量的15%（McAfee研究员Dmitri Alperovitch公开分析口径），通常被定性为路由泄露/误配置而非蓄意攻击。
研究价值：这是"大型transit AS单点错误→全球性影响"的极端案例，直接推动了"对peer宣告实施基本过滤"的行业共识，也提醒检测系统：异常宣告强度（一次性宣告前缀数量）是最有价值的实时信号之一（第4页§5.1）。
03 · 2012年 Indosat大规模劫持事件（2012-04-02）
经过：印尼运营商Indosat（AS4761）配置错误导致其向全球宣告了约1.4万条前缀，其中包括Google等大量知名企业的前缀，事件持续约27分钟（公开事件档案口径）。全球观测到这些前缀的起源AS被替换为AS4761。
启示：与2008年事件对照可见：同样是"误配置"，Indosat事件的泛洪规模大了几个数量级——检测规则的阈值设计必须兼顾"单前缀劫持"与"批量泛洪"两种模式；同时事件说明当时的全球性检测（如BGPmon类监测服务）已经能在分钟级发现和报告此类事件。
04 · 2017年 MainOne泄露波及Google事件（2017年11月12日，UTC）
经过：尼日利亚运营商MainOne（AS37282）因配置错误，将从Google学到的路由转发给了其商业关系不允许的方向，导致Google的大量前缀经中国电信（AS4809）与TransTelecom（AS20485）等被进一步传播。事件造成Google服务在多个区域约74分钟不可用（多方公开报告口径）。需注意的是，MainOne在2018年11月再次发生类似泄露事件（受影响对象包括Cloudflare等CDN前缀，MainOne官方事后承认系边缘路由器配置错误）——同一组织两年内重复发生泄露，说明组织级过滤治理的缺失比协议缺陷更常见。
形态分类：典型的向上游/横向泄露（RFC 7908问题框架的落地案例）。
启示：①泄露的"跨境传导"说明控制面事件与地理/政治边界无关，归因时严禁想当然；②该事件直接刺激了IETF泄露治理工作（其后RFC 9234角色机制落地）；③对检测而言，"关系突变"信号（第4页§04）在本类事件中是唯一有效抓手。
05 · 2018年 myetherwallet.com劫持事件（2018-04-24）
经过：攻击者通过美国俄亥俄州运营商eNet（AS10297）宣告了属于亚马逊（AS16509）Route53权威DNS服务使用的IP前缀（205.251.192.0/23等四个/23网段，Cloudflare官方分析口径），劫持生效期间myetherwallet.com的DNS查询被导向攻击者控制的解析服务器，返回钓鱼站点IP。用户在伪造页面输入钱包凭据后资金被盗。据Krebs on Security、Cloudflare官方博客等公开报道，用户损失约15.2万美元（约215 ETH）；攻击者服务器使用了无效TLS证书，忽略浏览器安全警告的用户才会遭受实际损失。
形态分类：起源劫持（子前缀/精确前缀）叠加DNS劫持——"路由层+应用层"组合攻击的教科书案例。
启示：①这是路由层攻击直接服务网络钓鱼的实证：URL过滤、域名黑名单对此类攻击完全无效；②劫持持续时间约2小时，但变现效率极高；③防御组合=权威DNS侧RPKI ROA保护+用户侧DNSSEC+劫持监测通报。本事件是"反钓鱼研究必须覆盖路由层"立论的关键证据。
06 · 2019年美国东部大规模路由泄露事件（2019-06-24）
经过：宾夕法尼亚州小型运营商DQE Communications（其网络使用路由优化器生成了大量更具体前缀）的错误宣告先经Allegheny Technologies，再经Verizon（AS701）几乎无过滤地传播至全球，泄露规模约2万条路由（Cloudflare官方事后分析口径），事件持续约3小时，导致Cloudflare、Amazon、Facebook等大型网络在美国东部大面积中断。Cloudflare官方博客对此事件有详细技术复盘。
启示：①级联放大公式：小运营者的过滤器缺失 × 大型transit的不过滤 = 全球影响；②Verizon作为最后一道防线未尽过滤义务，事后成为行业批评焦点——MANRS行动1（对客户提供的路由实施过滤）的价值实证；③事件说明"泄露检测"必须独立于"劫持检测"建设。
07 · 2020年 Google日本服务中断（2020-08-25）
经过：Google日本（AS24429侧）网络配置变更引发路由宣告异常并向外扩散，导致日本区域Google服务（含Gmail、YouTube、Search等）约40分钟大面积不可用。Google官方事后发布简要说明，将其定性为内部配置问题。
启示：即便拥有全球顶级网络工程能力的组织也会发生路由事故——变更管理（config change management）与"宣告前校验"（如 route leak 自检）应是所有大网的标配流程；对研究者而言，该事件的路由数据是研究"大型内容网络宣告行为基线"的珍贵样本。
08 · 2021年 Facebook全球中断（2021-10-04）
经过：Meta官方事后披露（及工程博客详述）：一次内部维护命令的连锁反应导致其骨干网BGP宣告被大量撤销，DNS服务器前缀随之从全球路由表中消失，Facebook及旗下服务全球不可用约6—7小时。注意：本事件不是劫持也不是泄露，而是运维事故引发的路由批量撤销——将其纳入案例库，是因为它在方法论上的独特价值。
启示：①"前缀可见性丧失"（visibility loss）必须作为监测系统的独立告警类型——本事件中外部监测工具（含BGP视角服务与Cloudflare雷达类产品）最先发出"Facebook路由正在消失"的信号；②可见性监测是断网归因的第一入口，其优先级不低于劫持检测；③变更回滚能力与物理带外通道（Meta团队需进入机房物理修复）提示：控制面安全也包含"把人挡在门外"的极端场景预案。
09 · 2024年 Cloudflare 1.1.1.1事件（2024-06-27）
经过：巴西运营商Eletronet（AS267613）开始宣告1.1.1.1/32（精确主机前缀）；几乎同时，Nova Rede（AS262504）将1.1.1.0/24泄露给其上游AS1031。两类事件叠加导致Cloudflare公共DNS解析器1.1.1.1在70个国家/地区、300多个网络中不可达（Cloudflare官方博客披露口径），事件持续数小时。
形态分类：子前缀劫持与路由泄露叠加——两类事件的叠加效应使影响面超过任何单一事件。
启示（RPKI价值的标志性实证）：Cloudflare官方报告明确指出，其自身网络已部署RPKI并执行ROV，内部服务未受影响；受损的是未部署ROV的外部网络。该事件后，业界普遍将其引用为"RPKI从可选到必选"的转折点证据。对本课题：①子前缀劫持检测规则（第4页§2.1）应默认启用针对关键基础设施精确前缀的专项监测；②泄露与劫持的叠加预警（同一目标前缀同时出现两类异常）应作为最高优先级告警规则。
10 · 2020年 Rostelecom大规模劫持事件（2020-04-27）
经过：俄罗斯国有运营商Rostelecom（AS12389）突然对外宣告了约8800条来自200多个网络的路由（BGPmon、Qrator Labs等公开分析口径），受影响范围包括Google、Amazon、Cloudflare、Fastly等大型网络，事件持续约1小时后异常路由被撤销。Rostelecom是否“有意为之”在公开层面无司法结论，存在误配置的解释空间。
形态分类：大规模起源劫持——单AS短时宣告海量异网前缀，是检测系统最高优先级的实时信号（第4页§5.1的强度特征）。
启示：①“宣告强度”特征（并行宣告数量）比单前缀偏离更能快速识别大规模事件；②该事件与2017年12月多起针对Google、Apple、Facebook、Microsoft等前缀的路由劫持事件（公开记录，归属分析存在不同口径）共同印证“惯犯ASN画像”的现实需求（第5页§03）；③事件从发生到撤销约1小时，是当前全球协同处置能力的现实基线，也是本课题度量指标“处置时长”的参照锚点。
本节参考来源（第6页）
RIPE NCC / BGPmon 等社区事件档案：2008年YouTube事件、2010年AS23724事件、2012年Indosat事件、2017年MainOne事件均有 contemporaneous 技术博客与邮件列表记录可查（RIPE Labs：labs.ripe.net）。
Krebs on Security关于2019年myetherwallet BGP劫持事件的报道（2019年4月）：krebsonsecurity.com；相关技术社区（BGPmon等）事件分析。
Cloudflare官方博客：2019年6月美国东部路由泄露事件复盘（blog.cloudflare.com）；2024年6月27日1.1.1.1事件官方报告（影响面与RPKI防御效果表述的出处）。
Meta工程博客关于2021年10月4日中断的官方复盘：engineering.fb.com；Google Cloud官方说明（2020年8月日本区域事件）：cloud.google.com（状态页归档）。
McAfee研究人员Dmitri Alperovitch关于2010年4月事件（"15%流量"口径）的公开分析（2010年）。
2020年4月Rostelecom事件：Qrator Labs事件分析（blog.qrator.net）、BGPmon公开报告；事件脉络汇总见Kentik《A Brief History of the Internet's Biggest BGP Incidents》（kentik.com）。