01 · 术语表与缩略语（A—Z）
A 匿名网络与协议
| 术语 | 英文/全称 | 释义（本课题语境） |
|---|---|---|
| 洋葱路由 | Onion Routing | Tor实现匿名通信的核心机制：流量经多层中继逐层解密转发，任何单一节点无法同时获知源与目的地（第2页§01） |
| onion服务 | Onion Service | 运行在Tor网络内的隐藏站点，地址以.onion结尾，通信双方互不知晓真实IP（旧称"隐藏服务"） |
| 盲化密钥 | Blinded Keys | onion v3服务目录登记机制：HSDir中继无法直接枚举服务清单，从协议层面终结了全网扫描式发现（第2页§01） |
| 服务目录中继 | HSDir (Hidden Service Directory) | Tor网络中负责登记onion服务描述符的中继；v2时代其明文描述符可被枚举爬取 |
| 大蒜路由 | Garlic Routing | I2P的匿名通信机制：多条消息捆绑封装经单向隧道传输（第2页§01.2） |
| 桥接 | Bridge | Tor的非公开入口中继，用于规避对Tor网络的封锁；本课题采集不依赖桥接，仅作概念说明 |
| 明网/深网/暗网 | Surface / Deep / Dark Web | 明网=搜索引擎可索引内容；深网=需登录或动态生成的非索引内容（如企业内网、Telegram封闭群）；暗网=需特定协议（Tor/I2P）访问的匿名网络。第2页§01.2已将"深网监测"纳入课题外延 |
| 蜜罐onion服务 | Honeypot Onion Services | 学术研究中部署的诱饵服务，用于观测窥探与枚举行为（HOnions研究，第2页§02.2） |
B 威胁情报标准与流程
| 术语 | 英文/全称 | 释义（本课题语境） |
|---|---|---|
| IOC | Indicator of Compromise | 失陷指标：哈希、域名、IP、钱包地址等可用于检测的攻陷痕迹（第1页C2） |
| TTP | Tactics, Techniques, Procedures | 战术、技术、过程：从行为模式刻画威胁的ATT&CK知识体系（第1页技术路线） |
| STIX | Structured Threat Information eXpression | OASIS结构化威胁信息表达标准（2.1版），平台统一情报对象模型（第4页§02） |
| TAXII | Trusted Automated eXchange of Intelligence Information | STIX情报的传输交换协议（2.1版，第4页§02） |
| MISP | Malware Information Sharing Platform | 开源威胁情报共享平台，社区共享站点谱系与指标（第2页§02） |
| TLP | Traffic Light Protocol | FIRST发布的共享分级协议（v2.0）：RED/AMBER/GREEN/CLEAR四级（第3页§04） |
| Sighting | —（STIX概念） | 指标在真实环境被观测到的记录，是IOC从"清单"变为"证据"的关键动作（第4页STIX映射表） |
| Observed-Data | —（STIX对象） | 对一次具体观测（如一条售卖帖）的标准化封装，本课题强制关联快照指针 |
C 勒索经济与黑灰产
| 术语 | 英文/全称 | 释义（本课题语境） |
|---|---|---|
| RaaS | Ransomware as a Service | 勒索软件即服务：运营方提供勒索软件与泄露站、附属成员实施入侵，按比例分成的犯罪供应链（第3页§02） |
| CaaS | Crime as a Service | 网络犯罪即服务：钓鱼套件、DDoS租赁、暴力破解等能力商品化（第3页§02.1） |
| IAB | Initial Access Broker | 初始访问经纪人：批量出售企业网络访问权限的"上游批发市场"（第3页§2.3） |
| 双重勒索 | Double Extortion | 先窃取数据再加密，以公开泄露施压赎金的攻击模式——泄露站（DLS）是其核心施压设施 |
| 泄露站 | Data Leak Site (DLS) | 勒索组织公开发布受害组织名称与数据样本的站点/页面；2025年被点名受害组织超8,000家（Emsisoft口径，第3页§1.2） |
| 退出骗局 | Exit Scam | 组织卷走赃款（含本应分给附属的赎金）后跑路并伪装被执法查封；Change Healthcare/ALPHV为标志性案例（第6页§02） |
| 担保市场 | Escrow / Guarantee Market | 为黑灰产交易提供资金托管的"信任基础设施"；Huione Guarantee为Telegram生态样本（第3页§1.1） |
| 钓鱼套件 | Phishing Kit | 批量生成仿冒页面与邮件的现成工具包，地下市场流通的上游资产（第1页§1.3） |
| 杀猪盘 | Pig-butchering Scam | 以交友/投资为幌子的长线电信诈骗；FBI IC3口径下加密投资诈骗损失居首（第3页§3.3） |
D 链上与金融合规
| 术语 | 英文/全称 | 释义（本课题语境） |
|---|---|---|
| 混币器 | Mixer / Tumbler | 通过资金池混合切断交易图谱关联的服务/协议；Tornado Cash为标志性制裁案例（第3页§3.2） |
| 稳定币 | Stablecoin（USDT等） | 锚定法币价值的加密代币；因结算快、波动小已成黑灰产结算主流，TRM口径占流向受制裁实体资金的约95%（第3页§3.3） |
| Travel Rule | 旅行规则 | FATF第16项建议：虚拟资产转账须随附发起人与受益人信息（第7页§06） |
| OTC商户 | Over-the-Counter | 场外兑换商：法币与加密货币兑换的灰色通道，洗钱产业链关键环节（第3页§3.3） |
| 311条款 | USA PATRIOT Act Section 311 | 美国FinCEN可据此认定"主要洗钱关切机构"并切断其与美国金融体系联系；Huione案为最新适用（第3页§1.1） |
| FIU | Financial Intelligence Unit | 金融情报单位：接收与分析可疑交易报告的国家机构，经埃格蒙特集团开展跨境合作（第7页§06） |
E 工程与合规通用
| 术语 | 英文/全称 | 释义（本课题语境） |
|---|---|---|
| 样本指纹 | Data Sample Fingerprint | 对泄露样本提取字段结构/格式/统计特征形成的比对标识，泄露确认核心技术（第2页§05） |
| WORM存储 | Write Once, Read Many | 一次写入多次读取的不可篡改存储策略，证据快照与审计日志的基线要求（第4页§03） |
| 等保2.0 | 网络安全等级保护制度2.0（GB/T 22239-2019等） | 我国网络安全基本制度：定级、备案、建设整改、测评、监督检查（第7页§03） |
| 关基 | 关键信息基础设施（CII） | 公共通信和信息服务、能源、金融等一旦破坏将严重危害国家安全与公共利益的重要设施（第7页§03） |
| MFA | Multi-Factor Authentication | 多因素认证；勒索初始访问的常见突破口恰是未启用MFA的远程服务（第6页§02.2教训） |
| SOAR | Security Orchestration, Automation and Response | 安全编排自动化与响应：本平台强制保留人工审批点（第5页§04） |
| NER / OCR | Named Entity Recognition / Optical Character Recognition | 命名实体识别与光学字符识别：暗网非结构化内容抽取的两类基础技术（第2页§04） |
| SimHash | — | 局部敏感哈希，用于跨镜像站内容去重归并（第2页§3.1） |
| Cohen's Kappa | — | 标注一致性统计量；本课题以0.7为标注质量阈值（第4页§4.2） |
| 黄金集 | Golden Dataset | 带标准答案的历史事件测试集，模块升级后回归测试的基准（第4页§4.2） |
| 12387热线 | — | 网信部门开通的网络安全事件报告热线及平台（2025年9月启用，含网站/小程序/公众号/邮件/传真共六类渠道，第3/7页） |
02 · 全课题事件时间线总表（2013—2026）
合并第1、3、6页已核实事件并统一口径；每条标注机构口径，数值以该机构后续修订为准。
| 时间（UTC） | 事件 | 要点与出处口径 |
|---|---|---|
| 2013.10 | 丝绸之路被查封 | 当时最大暗网市场被美国联邦执法查封，创始人被判终身监禁（第3页§1.1） |
| 2014.11 | Onymous行动 | 欧美联合查封丝绸之路2.0等一批市场，头部市场快速更替（第3页§1.1） |
| 2016.07 | No More Ransom启动 | 欧洲刑警组织牵头、多家安全厂商参与的解密工具公共平台，至今仍是勒索受害者恢复资源枢纽（第6页§3.2） |
| 2016（DEF CON 24） | HOnions研究发布 | 蜜罐onion服务研究，揭示窥探型HSDir中继的大规模枚举行为（第2页§02.2） |
| 2017.06—07 | Bayonet行动 | AlphaBay被查封、荷兰警方秘密接管Hansa约一个月，"接管运营取证"成执法新范式（第3页§1.1） |
| 2019 | LockBit以"ABCD"之名出现 | 后更名LockBit并迭代至3.0（"LockBit Black"），2023年保持最活跃勒索组织地位（第6页§3.1） |
| 2019.03 | Operation SaboTor | 美欧联合行动，逮捕与缴获规模以DOJ/Europol原始通报为准（第3页§1.1） |
| 2021.07—10 | onion v2全面退役 | Tor服务端停止支持v2、客户端默认禁用，v3（盲化密钥）成为唯一受支持版本（第2页§01） |
| 2022.02 | Conti源码泄露 | Conti勒索组织内部源码被公开，成为LockBit Green等衍生版本的改造基础（第6页§3.1） |
| 2022.08.08 | Tornado Cash被OFAC制裁 | 首个"制裁代码"案例；2024年第五巡回法院裁定OFAC越权，2025年3月移出名单；开发者刑事追责在多国继续（第3页§3.2） |
| 2024.02 | Operation Cronos + Change Healthcare攻击 | NCA主导行动重创LockBit（34台服务器/约1,000个解密密钥/冻结200余个账户）；同月ALPHV攻击Change Healthcare（第3/6页） |
| 2024.05 | Khoroshev被起诉悬赏 | 美司法部起诉LockBit管理员并悬赏1,000万美元（第3/6页） |
| 2024.07 | Elliptic曝光Huione Guarantee | Telegram生态担保市场进入公众视野（第3页§1.1） |
| 2025.03—04 | ALPHV退出骗局发酵 / RansomHub崩溃 | Change数据经RansomHub分批公开；"Notchy"叫板与分成纠纷公开化；4月1日RansomHub泄露站下线、附属转投Qilin/DragonForce（第3/6页） |
| 2025.05 | Huione监管执法升级 | FinCEN提出311认定、OFAC/英国制裁、Telegram封禁3,000余账号；平台更名"好旺担保"并分化（第3页§1.1） |
| 2025.09 | LockBit 5.0携新版本回归 | Trend Micro公开技术分析（2025年9月25日），附属门槛降至约500美元（公开研究口径）；2025年12月新泄露站重启，2026年Q1公布163名受害者重返全球第四（Check Point口径，第6页） |
| 2025.10.14 | Huione/太子集团案落地 | FinCEN 311终裁切断其与美国金融体系联系；DOJ起诉陈志并没收127,271枚BTC（当时估值约150亿美元，美国史上最大加密货币没收）（第3/6页） |
| 2025.11.01 | 《国家网络安全事件报告管理办法》施行 | 我国网络安全事件分级报告制度生效（第3/7页） |
| 2025.12—2026.01 | LockBit新泄露站重启与2025年度勒索统计 | 新泄露站2025年12月重启（首批21名受害者，The Cyber Express 2025年12月8日报道）；Emsisoft口径：2025年被泄露站公开点名组织超8,000家（第3页） |
| 2026.02—03 | Chainalysis《2026 Crypto Crime Report》（主体报告及勒索软件专题） | 2025年勒索链上付款8.2亿美元（-8%）、付款率28%历史新低、赎金中位数59,556美元（+368%）（第1/3页） |
| 2026.04—05 | Check Point《2026年第一季度勒索软件报告》与IBM X-Force年度指数 | Q1泄露站挂牌2,122家、前十大组织占71%、Qilin以338名受害者连续三季度居首（Check Point）；IBM X-Force：制造业连续第五年居最易受攻击行业（27.7%）（第5/7页） |
| 2026.07 | 威胁猎人《2026年上半年企业品牌外部风险研究报告》 | 2026H1有效泄露事件23,645起、重大事件542起、暗网渠道占比95.02%（第1页） |
注：本表仅收录已在正文引用的公开事件；测量类数值（站点数、用户数等）存在方法学差异，跨来源比较须谨慎（第5页§06）。
03 · 防御侧工具与数据源清单
本清单仅收录正文已引用或与其直接相关的公开工具与数据源，供教学与实验参考；商业产品的列举不构成采购推荐，涉链上分析的工具使用须遵守第3页能力边界声明（开源数据+公开情报为限）。
| 类别 | 名称 | 用途与本课题关联 |
|---|---|---|
| 网络测量 | Tor Metrics（metrics.torproject.org） | Tor网络官方测量数据：用户量、中继、带宽口径（第2页§01.3） |
| 暗网搜索 | Ahmia（ahmia.fi） | 合规.onion搜索引擎，主动剔除违法内容，服务发现渠道之一（第2页§02.1） |
| 解密恢复 | No More Ransom（nomoreransom.org） | 欧洲刑警组织牵头的解密工具库；应急预案固定检索步骤（第6/7页） |
| 链上分析 | Chainalysis / TRM Labs / Elliptic | 区块链分析机构报告与调查工具；本课题引用其公开研究口径（第3页） |
| 勒索统计 | eCrime.ch / ransomware.live | 勒索事件独立统计与泄露站监测数据源（第1/3页引用口径） |
| 泄露查询 | Have I Been Pwned（haveibeenpwned.com） | 公开泄露库查询服务；企业凭证泄露检查入口之一（第7页第31—60天事项⑦） |
| 情报共享 | MISP（misp-project.org） | 开源威胁情报平台，社区谱系与指标共享载体（第2/4页） |
| 威胁平台 | OpenCTI | 开源威胁情报管理与分析平台（可作STIX数据落地参考实现，第4页） |
| 知识库 | MITRE ATT&CK / ATLAS | 行为知识库与对抗性机器学习威胁知识库；映射与LLM治理依据（第3/5页） |
| 标准规范 | STIX 2.1 / TAXII 2.1 / GB/T 36643-2018 | 情报对象模型与交换协议标准族（第4页） |
| 事件报告 | 12387网络安全事件报告平台（12387.cert.org.cn） | 网络安全事件法定报告渠道（六类渠道之一，第3/7页） |
| 管理框架 | NIST SP 800-61r2 / SP 800-92 / AI RMF 1.0 | 事件响应、日志管理与AI风险管理框架（第4/5/6页） |
注：清单为本课题自用汇编，外部可用性与访问政策以各项目官方站点为准。
04 · 全课题指标体系汇总
合并第2页§06（监测运营指标）、第4页§04（质量指标）与第6页§06（路线图验收指标），统一如下表：
| 指标 | 定义 | 目标值（口径） | 出处 |
|---|---|---|---|
| P1站点采集成功率 | 高优先级站点按周统计的成功采集比例 | ≥95%（课题运营目标） | 第2页§06 |
| 重大线索发现时延 | 首次公开出现到进入分析师队列的时间差 | ≤24h（课题运营目标） | 第2页§06 |
| 谱系存活率 | 当月可成功采集站点数/谱系站点总数 | 持续度量、趋势管理 | 第2页§06 |
| 确认转化率 | 确认及高度疑似事件数/线索总数 | ≥60%（运营假设，非行业基准） | 第2页§06 |
| 预警采纳率 | 被客户/内部响应团队采纳处置的预警占比 | 建立基线后逐季提升 | 第2页§06 |
| 标注一致率 | 双人标注的Cohen's Kappa | ≥0.7（低于则修订指南回炉） | 第4页§4.2 |
| 回归达标率 | 模块升级后黄金集测试不低于基线 | F1与确认转化率双不降级 | 第4页§4.2 |
| 误报回流闭环率 | 被驳回预警回填原因标签的比例 | 100%回填、月度聚类分析 | 第4页§4.2 |
| L3达标时延 | 企业落地过渡档发现时延 | ≤72h（DM-DWMM口径） | 第7页§07 |
| 阶段三误报降幅 | 较能力基线的误报率下降幅度 | ≥30%（课题计划口径） | 第6页§06 |
注：除标注"运营假设/课题计划"外，目标值均为本课题自定验收标准；引用时须保留口径标注。
05 · 参考文献总表（第1—8页）
5.1 研究报告与行业数据
威胁猎人《2026年上半年企业品牌外部风险研究报告》（2026年7月；第1页引用23,645起/542起/95.02%等口径）：threathunter.cn
Chainalysis《Crypto Ransomware: 2026 Crypto Crime Report》（主体报告2026年2月、勒索软件专题2026年3月；第1/3/8页引用8.2亿美元、付款率28%、中位数59,556美元等口径）：chainalysis.com/blog/crypto-ransomware-2026
Elliptic：Huione Guarantee曝光与持续追踪（2024年7月起；第3/8页引用担保市场规模口径）：elliptic.co
TRM Labs 2026年加密货币非法资金研究（稳定币占比口径；第3/5/7页）：trmlabs.com
FBI IC3《2024 Internet Crime Report》（2025年4月；第3页引用加密相关损失93亿美元等口径）：ic3.gov
Emsisoft 2025年度勒索泄露站统计（经The Register 2026年2月报道；第3页引用8,000家口径）
Check Point Research《The State of Ransomware Q1 2026》（第3/5/6页引用LockBit回归、Qilin居首、Q1挂牌2,122家等口径）：research.checkpoint.com/2026/the-state-of-ransomware-q1-2026；Trend Micro LockBit 5.0技术分析（2025年9月）：trendmicro.com/.../lockbit-5-targets-windows-linux-esxi.html
Chainalysis对汇旺集团/太子集团案的公开链上分析（2021年8月—2025年1月总流入超980亿美元、确认非法所得逾40亿美元口径；第3/6页）：chainalysis.com
5.2 法律、法规与监管文件
《网络安全法》《数据安全法》《个人信息保护法》及两高一部电子数据规定（第1/3/7页）：cac.gov.cn
《国家网络安全事件报告管理办法》（2025年11月1日施行；第3/7/8页）：cac.gov.cn/2025-09/15/c_1759583017563621.htm
GDPR（EU 2016/679）第33/34/83条；NIS2（EU 2022/2555）；DORA（EU 2022/2554）；MiCA（EU 2023/1114）（第7页）：eur-lex.europa.eu
美国SEC网络安全披露规则（2023）；HIPAA泄露通知规则与HHS OCR Breach Portal；OFAC勒索付款合规指引（第6/7页）：sec.gov、home.treasury.gov
最高人民法院《人民法院在线诉讼规则》（2021年，区块链存证条款；第7页）：court.gov.cn
5.3 标准、框架与知识库
STIX 2.1 / TAXII 2.1（OASIS）；GB/T 36643-2018；GB/T 20986-2023（第1/3/4/8页）
FIRST TLP v2.0；MITRE ATT&CK与ATLAS（第1/3/5/8页）：first.org/tlp、attack.mitre.org
NIST SP 800-61r2、SP 800-92、AI RMF 1.0（第4/5/6页）：csrc.nist.gov
FATF第15/16项建议；埃格蒙特集团；《布达佩斯公约》（ETS 185）及第二附加议定书；海牙《取证公约》（1970）；欧盟e-evidence条例（EU 2023/1543）（第7页）
GB/T 22239-2019（等保2.0基线标准）；《关键信息基础设施安全保护条例》（第7页）
5.4 学术文献
USENIX Security 2024《A Comprehensive and Long-term Evaluation of Tor V3 Onion Services》（v3服务长期测量；45,889公开网站/487核心站/35,331钓鱼镜像口径）：par.nsf.gov/servlets/purl/10485912
Noubir & Sanatinia《HOnions: Exposing Snooping Tor HSDir Relays》（DEF CON 24, 2016）：khoury.northeastern.edu/.../HOnion_DEFCON24.pdf
Jardine, E. (2020). The potential harms of the Tor anonymity network cluster disproportionately in free countries： pmc.ncbi.nlm.nih.gov/articles/PMC7749358
5.5 官方项目与公共服务
Tor Project / Tor Metrics；I2P；Ahmia；MISP Project；OpenCTI；No More Ransom（第2/4/8页）
Europol / NCA / DOJ / FinCEN 行动与案件通报（Operation Cronos、Huione/太子集团案等；第3/6页）：europol.europa.eu、justice.gov、fincen.gov
06 · 研究伦理声明与版本记录
研究伦理声明（全文统一）：本课题全部内容以防御、合规与教育为唯一目的。①不收录任何可操作的进攻性细节（真实站点地址清单、绕过访问控制手法、可复现的攻击流程）；②不购买、不持有、不传播任何非法数据与违法工具；③泄露样本仅作指纹化特征提取，原始个人数据不落库、不扩散；④所有事实性表述均以公开权威来源为准并标注口径，推断性内容明确标注"研判/假设"；⑤文中涉及的攻击渠道与手法仅用于理解威胁与构建防御，严禁用于任何未授权活动；⑥发现涉嫌违法犯罪的线索，依法向公安机关、网信部门或行业主管机构报告。
6.1 编辑与核验原则（三性审查）
- 真实性：关键数据均回溯至原始机构口径（Chainalysis、FinCEN、DOJ、NCA、HHS OCR、Elliptic、威胁猎人等），二级转述必须注明；
- 准确性：区分"事实/官方口径/市场传闻/课题假设"四类陈述，分别使用确定性措辞；所有运营目标值与行业基准分离标注；
- 可溯源性：每一页设独立参考来源节，第8页提供合并总表；任何删除或降级表述在版本记录中留痕。
6.2 版本记录
| 版本 | 日期 | 变更说明 |
|---|---|---|
| v1.0 | 2026-09-09 | 修订版：全文由6页扩编为8页；新增第7页（专项深化：取证协同/监管对比/DM-DWMM成熟度模型/90天路线图/行业要点）与第8页（附录：术语表/时间线总表/工具清单/指标汇总/文献总表/伦理声明）；第1—6页分页导航与导读统一更新为8页结构；关键数据经第三方权威来源交叉核验（Huione/太子集团没收案、LockBit 5.0、Chainalysis 2026勒索口径、FBI IC3 2024口径、USENIX v3测量论文） |
| v1.1 | 2026-09-14 | 修订版：全量第三方权威来源复核——修正CAC官网链接1处、IC3报告年份口径1处、MOXFIVE统计归属1处；删除无法核实的Jardine 2020引用（替换为Tor Metrics口径）；更新LockBit 5.0回归、2026年Q1勒索生态（Check Point）、Huione总流入980亿美元（Chainalysis）、12387报告渠道与关基1小时报告时限、FATF旅行规则2025年落地数据、IBM X-Force制造业数据、Tornado Cash Storm定罪进展等共18处；所有新增数据均经权威来源交叉核验并保留口径标注 |
6.3 免责声明
本课题内容为研究与教育用途的方法论整理，不构成法律意见、投资意见或采购建议；制度与数据口径以各机构最新正式发布为准。因对抗环境快速演化，引用本课题数据时请同步核对原始出处。