作者：查找币安全团队
版本：DW-TI-CF-2026 | 发布时间：2026年4月
摘要
暗网威胁情报能力是网络安全防御体系的关键一环。然而，当前行业在能力定义、评估标准、量化指标方面存在显著分歧——厂商自评主观化、用户选型无标尺、技术路线碎片化。本框架由查找币安全团队联合数世咨询、关保联盟、奇安信、绿盟科技、微步在线等机构共同编制，旨在构建一套全链路、可量化、可落地的暗网情报技术能力评估体系。
框架覆盖Traditional Dark Web（传统暗网）与Dark Web Lite（轻暗网）双生态，包含七大核心能力域：威胁源采集与反爬对抗、智能分析、高保真存档、中文生态识别、海量泄露数据治理、事件处置与响应闭环。每个域均定义明确的分级标准与量化参数，解决“能力模糊、评估主观、标准缺失、本土化不足”四大痛点。
一、设计原则与总体架构
1.1 设计原则
- 实战导向：以国内暗网威胁生态（数据泄露、勒索软件、IAB交易、侵公威胁）为场景驱动
- 量化可测：每个能力域均定义可验证的量化指标，避免模糊定性
- 分级递进：能力分为L1（基础）、L2（标准）、L3（进阶）、L4（领先）四级
- 灵活适配：不设固定权重，支持安全厂商、政企机构、监管单位在自评、选型、研发、运营等场景灵活使用
1.2 框架整体结构
┌─────────────────────────────────────────────────────┐
│ 能力域矩阵 │
├───────────┬───────────┬───────────┬─────────────────┤
│ 采集域 │ 分析域 │ 存档域 │ 中文生态域 │
├───────────┼───────────┼───────────┼─────────────────┤
│ 泄露知识库│ 响应闭环 │ │ │
└───────────┴───────────┴───────────┴─────────────────┘二、Traditional Dark Web 威胁源采集与反爬对抗能力
2.1 威胁源采集广度
指标定义：覆盖的暗网站点类型数量（论坛、市场、聊天室、Pastebin等）
| 级别 | 覆盖站点数 | 典型特征 |
|---|---|---|
| L1 | <50 | 仅覆盖主流英文论坛 |
| L2 | 50-200 | 覆盖主流+部分俄语/中文论坛 |
| L3 | 200-500 | 覆盖多语种、多类型站点，含Telegram频道 |
| L4 | >500 | 覆盖全球主流+长尾站点，含闭源邀请制社区 |
2.2 防御策略/反爬对抗能力
暗网站点普遍采用CAPTCHA、IP频率限制、User-Agent检测、JavaScript验证、行为分析等反爬机制。能力分级如下：
| 级别 | 反爬对抗能力 | 技术特征 |
|---|---|---|
| L1 | 无/基础 | 仅支持静态页面抓取，无法处理CAPTCHA |
| L2 | 中等 | 支持代理池、Cookie管理、简单CAPTCHA识别 |
| L3 | 高级 | 支持浏览器自动化、行为模拟、AI CAPTCHA识别 |
| L4 | 领先 | 支持指纹伪装、动态渲染、分布式节点、对抗机器学习模型 |
2.3 情报采集时效性
| 指标 | L1 | L2 | L3 | L4 |
|---|---|---|---|---|
| 新帖发现延迟 | >24h | 6-24h | 1-6h | <1h |
| 关键数据泄露检测 | >48h | 12-48h | 2-12h | <30min |
2.4 暗网波动对抗能力
暗网站点因执法打击、服务器迁移、DDoS攻击等频繁波动。评估维度：
- 站点存活检测率：≥95%（L4）
- 备用节点切换速度：<5分钟（L4）
- 数据一致性保障：波动期间数据不丢失、不重复
三、Dark Web Lite 威胁源采集能力
3.1 威胁源采集广度
Dark Web Lite（轻暗网）包括Telegram频道/群组、Discord服务器、Matrix、IRC等。评估指标：
| 级别 | 覆盖渠道数 | 覆盖语言 |
|---|---|---|
| L1 | <100 | 仅英文 |
| L2 | 100-500 | 英文+中文+俄语 |
| L3 | 500-2000 | 多语种，含小众语言 |
| L4 | >2000 | 全球主要+区域语言全覆盖 |
3.2 采集内容解析度
- 文本解析：支持多语种分词、实体识别、URL提取
- 多媒体解析：图片OCR、视频帧分析、音频转文字
- 加密内容：支持Base64、AES、PGP等常见加密方式自动识别与尝试解密
3.3 采集效果优化
- 去重率：≥99%（L4）
- 无效内容过滤：广告、机器人消息、重复内容自动过滤
- 上下文关联：同一话题跨频道/群组关联聚合
四、暗网情报智能分析能力
4.1 关键实体信息提取
采用NLP+规则混合模型，提取以下实体：
- 威胁主体：黑客昵称、组织名称、邮箱、加密货币地址
- 目标资产：域名、IP、邮箱、手机号、身份证号
- 攻击工具：恶意软件名称、C2地址、Payload特征
- 交易信息：加密货币金额、交易哈希、交易所地址
4.2 情报分级分类
按威胁类型分为：
- 数据泄露：数据库、凭证、个人隐私
- 勒索软件：勒索声明、谈判记录、解密密钥
- IAB交易：初始访问经纪、VPN/RDP凭证
- APT活动：高级持续性威胁、0day交易
- DDoS服务：攻击邀约、僵尸网络
4.3 情报分析时效性
- 自动提取延迟：<5分钟（L4）
- 人工审核介入：仅L1-L2级别需要，L3-L4全自动
- 误报率：<5%（L4）
4.4 多维度向量检索
支持按以下维度检索：
- 时间：发布时间、发现时间、事件时间
- 空间：地理区域、语言、站点类型
- 内容：关键词、正则、哈希、实体
- 关联：相似内容、关联实体、历史事件
4.5 情报知识图谱构建
将提取的实体与关系构建知识图谱，支持：
- 实体关联查询：某黑客参与的所有事件
- 路径分析：从泄露数据到攻击者的完整链路
- 社区发现：识别黑客组织、交易网络
五、高保真复制与持久化存档能力
5.1 高保真复制
- 页面完整度：HTML、CSS、JavaScript、图片、附件完整保存
- 动态内容：支持JavaScript渲染、Ajax请求捕获
- 结构保留：原始页面结构、链接关系、时间戳完整保留
5.2 持久化存档稳定性
- 存储冗余：多副本、异地备份
- 数据完整性校验：SHA256哈希定期校验
- 恢复能力：任意时间点数据可完整恢复
5.3 风险控制与使用便利性
- 合规性：存档内容不直接对外展示，仅授权用户访问
- 搜索效率：全文检索响应时间<1秒（L4）
- 导出格式：支持PDF、HTML、JSON、CSV等多种格式
六、中文暗网生态环境威胁识别能力
6.1 中文Traditional Dark Web识别
- 覆盖站点：中文论坛（如暗网中文站、中文黑客论坛）
- 语言处理：中文分词、实体识别（身份证号、手机号、银行卡号）
- 文化语境：暗语识别（如“料子”=数据、“肉鸡”=被控主机）
6.2 中文Dark Web Lite识别
- 覆盖渠道：微信、QQ群、Telegram中文频道
- 内容解析：中文短文本、表情符号、图片OCR
- 敏感词库：持续更新的中文黑话词库
6.3 侵公威胁源识别
- 侵公数据特征：身份证号、手机号、银行卡号、社交账号
- 匹配规则：基于正则+机器学习模型
- 溯源能力：识别数据来源（网站、APP、数据库）
七、海量泄露数据知识库能力
7.1 历史知识库积累规模
| 级别 | 数据量 | 覆盖时间范围 |
|---|---|---|
| L1 | <10亿条 | 近1年 |
| L2 | 10-100亿条 | 近3年 |
| L3 | 100-500亿条 | 近5年 |
| L4 | >500亿条 | 全历史 |
7.2 新增数据扩展速度
- 日新增量：≥1亿条（L4）
- 数据源覆盖：全球主要泄露站点、Telegram频道、Pastebin
7.3 数据库响应速度
- 单条查询：<100ms（L4）
- 批量查询：<1s/万条（L4）
- 模糊查询：支持正则、通配符、相似度匹配
八、事件处置与响应闭环能力
8.1 暗网事件风险等级研判
| 等级 | 描述 | 响应要求 |
|---|---|---|
| 紧急 | 涉及核心资产、大规模泄露、勒索软件 | 30分钟内通知 |
| 高危 | 涉及敏感数据、中等规模泄露 | 2小时内通知 |
| 中危 | 涉及一般数据、初步接触 | 24小时内通知 |
| 低危 | 情报收集、未涉及实际泄露 | 48小时内通知 |
8.2 协助泄露源调查
- 溯源分析：通过数据特征、时间戳、IP痕迹定位泄露源
- 证据链构建：从暗网发现到内部系统关联的完整证据链
- 报告输出：标准化的泄露源调查报告
8.3 危机应对指导
- 应急建议：密码重置、系统加固、法律取证
- 公关支持：舆情监控、声明模板、媒体应对
- 法律咨询：符合《网络安全法》《数据安全法》《个人信息保护法》的处置流程
九、未来展望
9.1 暗网威胁生态演变趋势
- AI赋能攻击：利用LLM生成钓鱼邮件、编写恶意代码
- 去中心化暗网：基于区块链的暗网市场（如OpenBazaar）
- 加密通信：Signal、Session等端到端加密应用成为威胁沟通渠道
- 跨境协作：跨国黑客组织协作更加紧密
9.2 暗网情报技术发展方向
- AI驱动分析：深度学习模型用于实体识别、关系挖掘、威胁预测
- 自动化响应：从发现到阻断的全自动闭环
- 跨链追踪：比特币、门罗币、以太坊等多链交易追踪
- 量子计算防御：抗量子加密技术用于情报存储与传输
9.3 框架迭代方向
- 引入AI能力评估指标：模型精度、召回率、对抗鲁棒性
- 扩展Dark Web Lite覆盖：增加Matrix、Session等新兴渠道
- 合规性指标：适配《数据安全法》《个人信息保护法》的评估维度
- 配套评估工具：支持政企机构自助化能力自评与供应商选型
结语
暗网情报能力建设是一场没有终点的持久战。唯有坚持技术创新与生态协作并重，构建“采集—分析—存档—响应—反馈”的智能化闭环，才能在复杂对抗环境中始终占据主动。本框架的发布与迭代，目的正是为行业提供统一、科学、可落地的能力标尺，助力国内网络安全产业向高质量发展迈进，共同守护数字中国的网络空间安全与数据主权。
本文由查找币安全团队整理发布