徐雷：互联网基础资源安全面临三大风险，中国联通构建“三位一体”保障体系 | 互联网基础资源高质量发展会议

2026年7月1日，工业和信息化部、中央网信办、国家发展改革委、国家数据局四部门联合印发《关于推动互联网基础资源高质量发展的指导意见》，明确提出推动我国互联网基础资源高质量发展。

从安全角度来看，互联网基础资源安全，是保障IP地址、AS码号、域名以及由此构建的路由系统、域名系统等互联网架构体系与协议的安全，是整个互联网安全的重要基石。

重点可从域名系统、路由系统和海陆缆三个关键环节来看互联网基础资源安全。任何一个环节发生重大安全问题，都可能影响网络整体稳定运行。

从全球来看，互联网基础资源面临的安全形势依然复杂。

首先是域名系统安全。从域名被劫持、篡改，到DNS解析服务故障，再到家用路由器DNS遭恶意修改，域名系统安全问题不仅会影响单项业务，还可能造成大规模服务中断和网络瘫痪。

路由安全同样如此。MANRS Observatory统计显示，2020年至2024年，全球路由安全事件频发，单月路由劫持事件最高达到2000余起。2024年以来，事件数量虽然有所下降，但单次事件波及范围仍在扩大、影响程度持续加剧。从2008年巴基斯坦电信路由劫持导致YouTube全球大面积访问受阻，到2021年Facebook因路由配置错误大规模中断，再到2024年Cloudflare发生路由劫持和泄露，影响全球70个国家的300个网络，域间路由安全可信问题依然十分突出。

海底光缆作为国际数字通信和全球网络互联不可替代的物理基础设施，也持续面临风险。近年来，波罗的海、红海等区域均发生多起海缆中断事件。海缆一旦受损，可能直接造成跨境网络卡顿、中断以及跨国业务受影响，同时引发全网路由变化。

与路由和海陆缆不同，DNS自身是一个多级、庞大的层次化体系。其中既有面向用户查询的递归解析服务器，也有根服务器、顶级域和各级权威服务器。不同层级面临的攻击面并不完全相同。中国按照DNS全链路安全思路，围绕递归服务和授权解析的不同风险，构建DNS安全纵深防御体系。可以概括为三个方向：向内看、向上看、向前看。

1.向内看：DNS递归解析服务安全评估

随着新型攻击手法不断出现，递归DNS面临的风险越来越复杂。可归纳为五类：数据篡改、服务中断、信息泄露、功能滥用、软件漏洞。

例如缓存污染、DNS劫持属于数据篡改；NXDOMAIN攻击、DDoS等可能造成服务中断；缓存嗅探、DNS窃听涉及信息泄露；反射放大和DNS隧道属于功能滥用；逻辑漏洞和代码缺陷则属于软件漏洞。

针对这些不同风险，中国联通正在构建递归解析服务风险模型，并从协议安全、安全配置、安全管理等不同维度建立评估体系，实现对递归DNS安全状态的科学度量和持续感知。目前，中国联通正在牵头推进《域名递归服务安全评估指南》，希望逐步形成标准化、可度量的递归服务安全评估方法。

2.向上看：DNS授权解析依赖图谱与风险度量

DNS授权关系具有跨主体、多跳、多链路的分布式特点，当前主要存在三个难点：影响评估难。缺乏全局视图以后，一个授权节点发生变化，到底会影响多少域名、沿哪些路径传导，很难准确判断；风险预警难。DNS授权存在静默变更机制，NS记录发生变化以后，并不会自动通知所有相关方，冲突授权、无效授权和恶意授权等风险可能难以及时发现；授权验证难。DNS本身采用单向授权模式，建立连接时又不天然携带身份认证、加密能力和安全协议信息，权威服务器合法性和安全性无法原生验证。

为解决这些问题，我们采用三步技术路线：

第一步是全景测绘。从根、顶级域、二级域到多级子域，开展授权关系发现，对IP、AS、地理位置和服务商归属等进行精准刻画，并识别冲突授权、无效授权和异常授权。

第二步是图谱构建。建立“域名—NS—IP—AS—地域”有向加权图，对授权关系、冗余度、时延、节点健康度等进行量化，把风险特征实时映射到图谱节点和路径。

第三步是风险度量。进一步分析节点风险、授权链长度、路径多样性和重点区域健康度，并通过模拟节点移除开展极限场景风险传导评估。

最终希望实现从单一分类研究走向图谱研究、从问题发生后的被动修复走向主动测绘和提前预警、从局部评估走向系统性风险度量，解决关键域名解析异常问题。

3.向前看：从基础解析升级为Protective DNS

Protective DNS，通过把多源威胁情报和安全能力进一步集成到DNS解析侧，可以识别恶意域名、异常访问以及潜在攻击，把安全关口前移到用户真正建立连接之前。这样，DNS就不再只是被动提供解析结果，而可以进一步承担安全防护功能，实现从被动响应向主动防御的跨越。

所以，DNS纵深防御不是单一产品或者单一机制，而是递归解析安全评估、授权解析依赖风险度量和Protective DNS主动防御三方面能力的共同构建。

路由基础设施安全可以进一步归纳为三类风险：数据风险、链路风险和锚点风险。需要构建路由基础设施主被动协同防御体系。

第一，打造自主可控的全球路由知识库，化解数据风险。路由安全首先要解决数据基础问题。如果没有长期、稳定、可信的数据，就很难对全球路由异常事件进行有效识别、分析和溯源。

中国联通基于大模型能力融合多源数据，建设自主可控的全球路由知识库和全球路由资源图谱。目前数据底座覆盖60多个采集点、接入700多个观测点，积累20余年历史数据，构建了十万级AS实体库、百万级IP路由前缀实体库以及千万级IP应用服务映射库。通过将AS、IP前缀、应用服务、所属机构、地理位置和网络关系等信息进行关联，为全球路由安全事件监测与研判提供智能化数字底座和决策依据。

第二，构建全球路由态势感知与溯源能力，化解链路风险。有了可信数据底座，还要进一步解决异常事件能不能及时发现、能不能追溯的问题。

中国联通打造全球路由态势感知与溯源系统，突破全球路由异常检测相关技术，实现全球路由异常实时监测和溯源，提升链路风险下的路由可用、可管、可控能力。

与此同时，我们建设路由安全仿真框架，面向路由中断、路由劫持、路由泄露等真实故障场景，自动生成或者导入路由事件脚本，复现事件全过程。通过故障场景仿真、虚实融合拓扑构建以及态势推演和评估，可以模拟替代链路、量化网络影响，为异常情况下的路由备选策略制定提供支撑。不仅要“看见问题”，还希望进一步做到复现问题、推演问题、验证方案。

第三，构建分布式路由信任体系，破除锚点风险。路由安全涉及信任体系。如果互联网路由安全过度依赖单一信任锚，在极端情况下就可能形成新的安全风险。

中国联通持续开展RPKI路由安全相关研究和现网示范。2025年4月，我们联合鹏城实验室完成国内首例码号资源所有权保障系统现网示范，共同构建全球首个RPKI联盟根系统，具备多边协同共治、路由异常快速修复和路由劫持实时防御等能力。于此之前，也已经在中国联通169骨干网和吉林城域网开展大规模现网验证，为构建自主可控的分布式路由信任体系奠定技术基础。通过可信数据底座、态势感知与溯源、分布式信任体系三方面协同，逐步形成路由安全主被动融合的防御能力。

海底光缆的问题和纯路由安全不同。在互联网中，我们通常看到的是IP、AS和BGP路由形成的逻辑路径，但业务真正跨境、跨洲传输，最终依赖的是具体的物理海底光缆。这两者之间并不存在天然、精确的映射关系。

因此，我们尝试把主动测量路径数据和控制平面BGP路径数据结合起来，对海底光缆进行分段建模和细粒度路径推理，实现网络逻辑路径到物理光缆路径的映射。在此基础上，构建海底光缆态势感知、动态监测和中断溯源能力。

例如，在2025年9月红海多条国际海底光缆中断事件中，我们通过平台自动提取故障时段大量BGP路由波动信息，结合亚欧非主干海缆拓扑和逻辑路径—物理光缆映射库定位候选故障链路，并进一步研判流量绕行路径、量化评估中国联通受到的影响，为跨网流量调度和故障应急处置提供支撑。

路由、域名和海陆缆并非彼此独立。一次物理海缆中断，会引发路由变化；路由异常又可能进一步影响DNS和上层应用访问。互联网基础资源本身就是一个相互关联、相互影响的复杂系统。

因此，下一阶段不能只从单个环节进行安全防护，而需要构建智能一体化互联网基础资源安全跨层防御体系。

中国联通建设整体思路，是持续融合大模型、知识图谱等人工智能技术，进一步打通数据、路由、域名解析和物理海缆之间的关系。在DNS侧，则利用AI开展异常解析识别、递归节点攻击态势预判、恶意域名画像拦截、DNS故障根因溯源、访问行为智能风控以及DNS配置合规自检；在路由侧，通过AI开展路由异常事件监测告警，对路由劫持、路由泄露、路由中断和路由震荡进行智能识别和研判，并结合仿真平台开展安全事件模拟、策略生成和模拟处置；在数据侧，持续完善AS知识图谱、IP知识图谱和海缆映射库，形成智能数据底座。最终形成一个覆盖路由链路、域名解析和海底光缆的全景式智能安全监测与推演体系。

面向AI时代，我们希望持续构建智能一体化的互联网基础资源安全跨层防御体系。通过深度融合大模型、知识图谱等人工智能技术，进一步锻造覆盖路由链路、域名解析、海底光缆的全景式智能安全监测和推演能力，使互联网基础资源安全从单点、被动防御进一步走向跨层协同和智能化治理。最终形成立体化、智能化、可自愈的基础资源防护屏障，全方位夯实国家互联网底层基础设施安全底座，更好支撑新型算力网络、跨境骨干网络和数字新基建长期稳定可靠运行。