01 · 研究背景与战略定位
1.1 为什么路由层需要"态势感知"而非"单点检测"
子课题01（BGP路由劫持检测与溯源）解决的是"单个事件如何被检测和归因"的问题，而本课题解决的是"全局路由安全处于什么状态、趋势如何、风险在哪里、各方如何协同"的问题。二者的关系是：检测是态势感知的传感器，情报是态势感知的产出物，协同处置是态势感知的价值兑现环节。
互联网路由安全事件的三个特征决定了单点防御必然不足：
- 影响面无国界：一次发生在南美AS的劫持（如2024年6月Cloudflare 1.1.1.1事件中巴西Eletronet AS267613的劫持宣告）可瞬间影响全球70个国家/地区300多个网络——防御方必须具备全球视角，任何单一网络的本地视角都不足以判断事件全貌。
- 成因跨域耦合：路由安全状态同时受协议机制（BGP）、信任基础设施（RPKI）、运营实践（MANRS四项行动）、商业关系（AS互联拓扑）四个层面影响，孤立指标无法反映真实风险。
- 攻防不对称：攻击者只需一次成功的异常宣告，防御者却需要在全网范围内持续监测、甄别误报、协调多方——没有态势感知带来的规模化与自动化，防御成本将高到不可持续。
1.2 态势感知（Situation Awareness）的经典定义与路由域落地
态势感知概念源自Endsley于1995年在《Human Factors》提出的三级模型（该文为态势感知领域被引最多的奠基文献之一）：
| 层级 | 经典定义 | 路由安全域的对应能力 |
|---|---|---|
| L1 要素感知 Perception | 对环境中相关要素的觉察 | 多源路由数据采集与预处理：RouteViews/RIS快照与更新流、BGPStream事件、RPKI存储库对象、MANRS成员数据、AS拓扑与商业关系数据 |
| L2 理解 Comprehension | 整合感知信息，理解其含义 | 劫持/泄露事件识别与分类、影响面量化（受影响AS数、地理覆盖）、RPKI部署有效性评估、风险评分 |
| L3 预测 Projection | 对未来状态的推断 | 趋势研判（ROA覆盖率增长预测）、威胁演化分析（路径操纵类事件占比变化）、防御部署缺口预警 |
本课题以该三级模型为概念骨架，结合网络安全领域通用的"监测—研判—通报—处置"运营闭环（与OODA循环观察-判断-决策-行动同构），构建路由安全态势感知的完整能力链。
核心科学问题：如何将海量、异构、带观测偏差的多源路由数据，转化为"可度量、可比较、可预测"的路由安全态势指标，并进一步转化为各参与方可消费、可行动的威胁情报与协同处置指令？本课题围绕三个关键问题展开：KQ-1（指标口径）：态势指标如何定义才能兼顾可计算性与可解释性，避免"指标好看但无法指导行动"？KQ-2（情报转化）：分析产出如何映射到STIX 2.1等标准情报对象模型，实现机器可读、自动消费？KQ-3（协同落地）：在缺乏中央权威、各方利益多元的去中心化互联网治理结构中，协同处置机制如何设计才能可持续运转？
02 · 研究目标与关键问题
- 目标一（指标化）：建立覆盖"事件层—防御层—治理层"的三层路由安全态势指标体系，所有指标给出明确定义、数据源、计算口径与刷新频率，支撑全球/区域/AS级多维钻取。
- 目标二（平台化）：设计可落地的态势感知平台参考架构，明确采集、处理、分析、展示、告警各环节的技术选型与性能要求。
- 目标三（情报化）：实现分析产出到STIX 2.1标准情报对象的规范化映射，打通TAXII 2.1分发通道，支撑成员单位自动化消费。
- 目标四（协同化）：建立面向MANRS、RIR、国内CNNIC/反钓鱼工作组等多方的协同通报与处置机制，并定义度量指标验证闭环有效性。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 指标口径与偏差 | RouteViews/RIS收集器存在系统性观测偏差（欧美大型AS被过度采样），指标计算如何避免"以偏概全"？多源数据冲突时如何仲裁？ | 第2页 §01—§03 |
| KQ-2 | 情报标准化转化 | 路由事件信息（前缀、AS_PATH、时间窗）如何映射到STIX 2.1的Indicator、Observed Data、Infrastructure等SDO/SRO对象？置信度与TLP如何标注？ | 第4页 §02—§04 |
| KQ-3 | 协同机制设计 | 在去中心化的互联网治理结构下，如何设计通报流程、责任界面与激励相容机制，使协同处置可持续而非依赖个别机构推动？ | 第5页 / 第7页 |
03 · 生态全景：谁在产出路由安全态势信息
| 角色 | 产出物 | 代表 |
|---|---|---|
| 学术测量机构 | 路由安全事件数据集、AS规模/关系排名、开源分析工具 | CAIDA（BGPStream、AS Rank、AS Relationship数据集）、佐治亚理工（IODA、GRIP）、FORTH/ICS-FORTH（ARTEMIS） |
| 路由数据平台 | 原始路由表快照、实时更新流、事件查询API | RouteViews、RIPE NCC RIS（含ris-live实时WebSocket流）、Isolario、PCH |
| 大型网络运营方 | 事件报告、公共路由安全查询服务、开源监测工具 | Cloudflare（官方博客事件报告、Cloudflare Radar）、NTT（BGPalerter开源工具）、HE、Verizon等 |
| 行业倡议组织 | 成员行为规范、部署合规度观测、最佳实践文档 | MANRS（由Internet Society发起，含MANRS Observatory公开观测平台） |
| 资源管理机构 | RPKI信任锚与存储库、注册数据、区域部署统计 | 五大RIR（APNIC/ARIN/RIPE NCC/LACNIC/AFRINIC）及各国NIR（如CNNIC） |
| 安全社区 | 事件邮件列表、威胁情报共享社区 | NANOG等运营商社区邮件列表、MISP社区、各CSIRT/CERT组织 |
04 · 研究范围、术语与合规边界
4.1 核心术语
| 术语 | 释义 |
|---|---|
| 态势感知（SA） | 在特定时空范围内对要素的感知、理解与预测能力（Endsley定义），本课题将其操作化为可计算指标与运营流程 |
| IOC（失陷指标） | Indicator of Compromise，可用于机器匹配的攻击特征；路由域的IOC如"AS X 在 T 时段宣告了前缀 P" |
| STIX / TAXII | OASIS制定的威胁情报结构化表达标准（STIX 2.1）与传输协议（TAXII 2.1），前者定义对象模型，后者定义服务端点与订阅机制 |
| TLP | Traffic Light Protocol（交通灯协议），FIRST维护的情报共享分级标记（TLP:CLEAR/RED/AMBER/GREEN），控制情报再分发范围 |
| MTTD / MTTR | 平均检测时间 / 平均响应时间，衡量安全运营闭环效率的核心度量 |
| MANRS Observatory | MANRS官方运营的公开观测平台，对各网络的路由安全实践合规度进行测量与展示 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "态势感知=大屏幕可视化" | 错误。可视化只是L1/L2能力的呈现层；没有指标口径、数据治理与研判流程支撑的大屏是"数字装饰"，无法产生行动价值。 |
| "情报共享=把数据发出去" | 错误。有效共享要求标准化对象模型（STIX）、明确的分级标记（TLP）、消费方反馈机制三者齐备，否则只是单向数据倾倒，无法形成闭环。 |
| "ROA覆盖率高=路由就安全了" | 错误。ROA只解决起源验证，且需配合ROV实际启用才能生效；路径类攻击（泄露、AS_PATH操纵）不受ROA保护（详见子课题02、05）。 |
| "态势指标可以脱离观测偏差谈绝对值" | 错误。所有基于RouteViews/RIS的统计都受收集器拓扑分布影响，跨平台比较与趋势分析必须说明口径（第2页§03展开）。 |
合规与伦理声明：①本课题技术路线以防御与协同治理为目的，遵守《网络安全法》《数据安全法》《个人信息保护法》及《关键信息基础设施安全保护条例》；②仅使用公开路由数据源与公开注册数据，采集遵守各平台服务条款与速率限制；③情报共享遵循TLP分级与国内网络安全威胁信息共享相关规范，涉及境内网络信息出境时履行相应合规程序；④事件归因结论标注置信度与证据来源，不构成对任何主体的法律指控；⑤对受影响方的通报遵循负责任披露原则。
05 · 预期成果与交付物
- 《路由安全态势感知指标体系规范》（指标定义、数据源、计算口径、刷新频率、偏差说明）
- 态势感知平台参考架构设计（含数据流图、组件选型、性能指标要求，见第3页）
- 路由安全威胁情报STIX 2.1对象映射规范与示例情报包（见第4页）
- MANRS合规度对标分析模板与国内外典型AS对标报告（见第5、6页）
- 路由安全事件协同处置手册（分级标准、通报模板、复盘框架，见第7页）
- 工具选型清单与12个月实施路线图（见第8页）
06 · 研究边界、关键假设与里程碑
6.1 研究边界（本课题不覆盖的内容）
- 协议级深度改造评估：BGPsec等路径签名机制的大规模部署成本效益分析属独立研究方向，本课题仅在第5页治理差距部分作为背景引用。
- 数据面加密与应用层安全：流量被劫持后的加密流量分析、TLS层防御不在讨论范围。
- 法律合规意见：第6页法规关联解读仅为研究性分析，不构成合规建议或法律意见。
- 厂商级配置细节：具体设备型号的命令级操作以厂商文档为准，本课题仅给出能力要求与验证方法。
6.2 关键假设
- 数据可得性假设：RouteViews、RIS、RPKI存储库等公开数据源持续可用，采集政策与速率限制不发生根本性变化；若发生数据中断，平台应具备断点续传与降级运行能力。
- 协同意愿假设：去中心化治理结构下各方无强制义务，协同机制设计以"低门槛承诺＋声誉激励"为前提，不假设超越现实的配合度。
- 标准演进假设：RPKI/ASPA等标准按IETF既定节奏演进；ASPA对象发布能力已于2025年在RIPE NCC区域落地，但截至2025年底全球签署ASPA的自治系统占比仍低（约0.5%量级，见RPKI 2025年度回顾），路径验证类指标的引入时机需跟踪标准发布与部署曲线。
6.3 里程碑计划
| 节点 | 交付 | 验收标准 |
|---|---|---|
| M3 | 《指标体系规范》初稿（第2页内容定稿） | 指标字典覆盖三层体系全部核心指标，口径通过外部专家评审 |
| M6 | 平台试运行（第3页架构落地） | MTTD<30分钟达标；自有前缀监测全覆盖 |
| M9 | 情报通道联调（第4页） | STIX示例情报包通过≥2个外部平台解析；TLP分级流程固化 |
| M12 | 结题：协同机制试点启动（第7页§5方案） | 对标报告＋协同处置手册＋首批协作组成员签约 |
本节参考来源（第1页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
Endsley M.R.《Toward a Theory of Situation Awareness in Dynamic Systems》（Human Factors, 1995, 37(1):32-64），DOI：10.1518/001872095779049543。态势感知三级模型的奠基文献。
MANRS（路由安全相互协议规范）官网：manrs.org；MANRS Observatory：observatory.manrs.org。
OASIS STIX 2.1标准：docs.oasis-open.org/cti/stix/v2.1；TAXII 2.1：docs.oasis-open.org/cti/taxii/v2.1。
FIRST《Traffic Light Protocol (TLP)》定义：first.org/tlp。
Cloudflare官方博客1.1.1.1劫持事件报告（2024年6月）：blog.cloudflare.com（事件涉及Eletronet AS267613的劫持宣告与Nova Rede AS262504的路由泄露，影响70个国家/地区300多个网络）。
CAIDA BGPStream：bgpstream.caida.org；佐治亚理工IODA：ioda.live；GRIP：grip.inetintel.cc.gatech.edu。
Du B., Testart C., Fontugne R., Akiwate G., Snoeren A., Claffy K.《Mind Your MANRS: Measuring the MANRS Ecosystem》（ACM IMC 2022），全文：caida.org（论文全文PDF）。对MANRS成员实践合规度的首次独立系统性测量。
NTT开源BGP监测工具BGPalerter：github.com/nttgin/BGPalerter。
RIPE NCC《Activity Plan and Budget 2025》（含历年ROA覆盖率官方口径：2021年IPv4约49%→2024年约68%）：ripe.net/publications/plans。
Snijders J.《RPKI's 2025 Year in Review》（NANOG邮件列表公开技术报告，2026年1月）：全球ROA对象、VRP与ASPA部署年度统计，seclists.org/nanog/2026/Feb/130。