暗网监测与追踪

01 · 研究背景与风险态势

1.1 暗网：重大数据泄露风险的"主披露渠道"

据威胁猎人《2026年上半年企业品牌外部风险研究报告》（2026年7月发布），2026年上半年经其数据泄露情报平台验证确认的有效数据泄露事件共23,645起，较2025年下半年的22,102起增长6.98%；其中重大数据泄露风险事件共542起，较2025年下半年的441起增长22.90%，增幅明显高于整体事件量。该报告将"重大数据泄露风险事件"界定为数据量级较大、字段敏感度较高、涉及核心业务信息、被公开披露，或可能造成较大合规、声誉及公共安全影响的事件。

从传播渠道看，暗网相关数据泄露记录由2025年下半年的2,353起增加至2026年上半年的4,952起；暗网渠道在重大风险事件中的占比由76.64%上升至95.02%，已成为重大数据风险公开披露、样本展示和外部传播的主要渠道。在制造业与零售业的重大风险事件中，68.3%出现在勒索组织或相关站点的公开发布页面；制造业重大风险事件较2025年下半年增长82.14%，零售业增长59.26%。

1.2 为什么防守方必须关注暗网

对防守方而言，暗网与地下渠道具有三重独特价值：其一，攻击前兆——数据售卖预告、初始访问凭证交易、0day漏洞询价等活动往往先于实际攻击发生；其二，泄露证据——数据样本的公开是确认泄露发生、评估影响范围的关键证据来源；其三，生态态势——RaaS/CaaS商业模式、团伙分合与执法打击的演化，直接影响威胁格局研判。勒索软件经济方面，据Chainalysis《2026 Crypto Crime Report》（主体报告2026年2月发布，勒索软件专题2026年3月更新），2025年勒索软件组织获得超过8.2亿美元的链上付款，同比下降8%（修正后的2024年估计为8.92亿美元），但Chainalysis口径显示声称的勒索受害事件同比增长50%（经The Register 2026年2月报道），付款率降至28%的历史低点——"攻击更多、付款更少"的分化使勒索组织更依赖数据泄露施压，暗网泄露站点的重要性进一步上升。

1.3 与迪妙反钓鱼业务的直接关联

迪妙网络空间安全学院深耕反钓鱼、反诈骗与企业安全意识培训。钓鱼对抗与暗网监测存在天然的业务耦合：钓鱼套件、仿冒模板与公民个人信息在地下市场的流通是钓鱼产业链的上游；钓鱼团伙用于注册域名、接收赃款的基础设施也常出现在地下交易渠道中。本课题形成的泄露确认、样本指纹与团伙画像能力，可直接支撑学院演练沙盘的真实案例库与课程体系建设。

1.4 暗网监测的产业格局与本课题定位

从供给侧看，暗网与外部风险监测已形成三个层次的市场格局：国际商业情报层——Recorded Future、Flashpoint、Cybersixgill、ReliaQuest等机构长期提供暗网论坛与市场的商业监测服务；国内产业层——威胁猎人、微步在线、奇安信威胁情报中心等厂商在企业品牌外部风险、数据泄露情报与黑灰产反欺诈方向形成了成熟的监测产品线（威胁猎人2026年上半年系列报告即该层代表产出）；学术与开源层——前述Tor v3长期测量研究、Ahmia搜索服务、MISP社区等提供了方法与数据基础设施。本课题定位为学院自建的教学与研究型轻量监测能力：不与商业服务竞争覆盖面，而聚焦方法论沉淀、案例教学转化与合规框架研究，并与商业监测服务形成"委托监测+自主分析"的互补结构。

02 · 研究目标与关键问题

• 监测自动化：实现对暗网公开可及站点（市场、论坛、勒索组织泄露页、数据售卖页）的持续监测与结构化提取，形成可运营的监测站点谱系。
• 泄露确认与溯源：通过泄露样本的字段指纹、格式校验与多源交叉验证，快速确认泄露事件的真实性、来源与影响范围，控制误报。
• 生态演化跟踪：追踪RaaS/CaaS商业模式演变与团伙分合（如LockBit、RansomHub、Qilin等案例），预警新兴攻击能力扩散。
• 协同处置支撑：为监管通报、企业应急响应与执法协作提供证据链与情报支撑，资金溯源方面以链上分析为辅助手段。

2.1 三个关键研究问题

03 · 核心研究内容总览

本课题围绕四大研究目标展开五项核心研究内容，全文各页覆盖关系如下：

3.1 关键技术与方法（总览）

• 只读监测模式：以公开可及页面的被动采集为主，不注册交易账号、不发起交易、不绕过访问控制，从制度上杜绝卷入违法交易。
• 样本指纹识别：对泄露数据样本提取字段结构、编码特征与统计指纹，构建可比对的数据库指纹库，实现泄露源初判。
• 多源交叉验证：将暗网线索与开源情报（证书透明度、被动DNS）、内部遥测及伙伴共享情报交叉比对，提升置信度。
• 图关联分析：对组织、基础设施、钱包地址、账号主体构建关联图谱，支持团伙画像与资金链路分析。

04 · 技术路线与课题定位

本课题的技术路线是一条"采集—解析—确认—预警—反馈"的闭环流水线，全流程嵌入合规控制点：

4.1 与其他子课题的接口

• 与子课题01（收集与标准化）：暗网监测产出的IOC与泄露事件按STIX 2.1 / GB/T 36643-2018建模归一，经TAXII/MISP通道流转。
• 与子课题05（多源融合与关联分析）：暗网单源线索置信度有限，须经多源融合交叉验证后方可进入分析结论，避免单源误判。
• 与子课题07（威胁狩猎）：泄露的凭证类数据（账号、Cookie、访问令牌）转化为狩猎假设，驱动内部遥测侧的主动排查。

05 · 研究边界与合规声明

5.1 相关法律依据

需要特别指出：暗网监测中的"监测到他人泄露数据"与法律上的"非法获取个人信息"之间的界限，关键在于获取方式是否突破访问控制、获取目的是否合法正当、后续处理是否最小必要。本课题采用只读被动采集与指纹化处理的组合设计，正是为了使监测行为始终处于合法边界之内。涉及向监管部门报告与受影响个人通知的具体分级标准，详见第3页 §05。

06 · 预期成果与交付物

• 《暗网监测技术与黑灰产生态研究报告》一份（含风险态势、技术方法、生态分析与合规指引四章）
• 暗网分布式只读监测采集框架原型（隔离环境部署规范 + 采集组件）
• 企业数据泄露监测与样本指纹比对方案（含置信度分级标准）
• RaaS/CaaS组织生态画像样例库（含组织兴衰案例卡片）

07 · 全文分页导航

本节参考来源（第1页）

以下均为真实可查的权威来源（监管机构、标准组织、官方项目站点、执法机构、研究机构），用于支撑本页事实性表述。