如何选购暗网监测和数据泄露监测产品

导读说明

本文方法论主要参考：

Javelin Strategy & Research, 2025 Dark Web Threat Intelligence Vendor Scorecard（2025 年 11 月）——国际暗网威胁情报厂商评估方法论；

Hudson Rock, 2026 Infostealer Index（持续更新）——国际窃密日志情报能力评估方法；

数世咨询，《暗网情报（DWI）能力白皮书》（2026 年 8 月）——国内暗网情报能力定位与生态分析；

《暗网情报技术能力框架及参考指标体系（2026 版）》（2026 年 4 月）——国内暗网情报能力分级与指标体系行业白皮书；

DWI-CMM: A Quantitative Capability Maturity Model for Cybersecurity-Oriented Dark Web Intelligence DOI：10.5281/zenodo.23526716

第 01 章为什么要采购暗网监测和数据泄露监测产品？

数据在暗网被标价出售、在Telegram群里打包流转、在勒索组织站点上挂着倒计时、KEY在GitHub上裸奔——很多企业的第一知晓途径竟然是“朋友圈”。对于已经发生的数据泄露事件，企业是否及时发现、采取补救措施、履行通知和报告义务，将直接影响其是否依法承担相应责任。未能及时发现和处置，并不能当然成为免除法定义务的理由。

《数据安全法》第29条：发生数据安全事件时应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。第45条：不履行上述义务的，警告并处5万至50万元罚款，主管人员1万至10万元；拒不改正或造成大量数据泄露等严重后果的，处50万至200万元罚款，可责令停业整顿、吊销执照，主管人员5万至20万元。

《个人信息保护法》第57条：发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履职部门和个人。第66条：情节严重的，处5000万元以下或者上一年度营业额5%以下罚款。

《网络安全法》（2026年1月1日施行）第61条：造成大量数据泄露等严重后果的，单位50万至200万元、主管人员5万至20万元；特别严重情形单位最高1000万元，直接负责的主管人员最高100万元。

《公安机关网络空间安全监督检查办法》（公安部令第176号，2026年10月1日施行）第6条：曾发生数据安全事件、或被处罚后未整改的，应当重点监督检查。

看清楚这套法条的逻辑：补救、处置、通知、报告、报案，每个法定动作都以“发现了”为前提，发现不了整条义务链就是空的；而数据被偷本身不构成处罚事由，被追究的是该监测的没监测、该发现的没发现、该处置的没处置、该报告的没报告。相关法律已经建立了针对单位及直接负责的主管人员、其他直接责任人员的双责任追究机制。企业数据安全事件的法律责任，不再仅仅停留在单位层面，相关管理人员也可能依法承担个人责任。

这就是范式之变：从查过程，到验结果。合规的过程性检查可以看到企业“做了什么”，而数据泄露监测可以回答“做到没有”——前者可以被应付，后者不会说谎。

第 02 章为什么DLP、NDR、EDR、DAS、DMS等产品不能做暗网监测和数据泄露监测？

DLP、NDR、EDR、DAS、DMS等这些产品，就像饭前洗手、天冷加衣、锻炼身体、补充维生素——都对，都该做。但保健做得再好，也不能保证不生病。

而且这种病没有症状。数据被拖走的时候，走的可能是攻击者获得的合法凭据和加密隧道，受控路径上一切正常；源码发上GitHub，可能只是合作商工程师的“不小心”。等内部发现的时候，可能已经收到勒索邮件、朋友圈传播、监管约谈、执法通知了——病早已进展了很久。

这时候你需要的不是再加一样保健品，是去医院。暗网、TG群、勒索站、GitHub、网盘，数据出了边界之后的事，得有人替你在体外盯着。补救、处置、通知、报告、报案，每个法定动作都以“发现”为前提。

第 03 章如何选择暗网监测和数据泄露监测服务商？

在选择暗网监测和数据泄露监测服务商时，我们绕不开一个问题：同质化严重。也就是：

需求一提，谁都满足；标书一发，全是正偏离。

而暗网和数据泄露又不像病毒检测、漏洞扫描或者渗透测试一样透明，它天然就存在着信息差和“玄学”，导致POC非常难测试出真实结果。

尤其是暗网监测，企业总不能亲自去暗网发个自己企业的数据，让厂商测能不能发现吧。

所以，有没有可执行的办法衡量暗网监测和数据泄露监测厂商的能力？

答案是：有！

这里，我以一个纯技术人员，一个6年情报分析师的从业者视角，提供10个简单，并非常容易测试的方法和相对应的原理解读，供参考。（特别说明，以下证明都是基于有软件，且自动化实现，而非人工手搓——原始情报量级从百万到亿级）

本章所列截图均为实际监测系统中的采集记录，用于展示具体能力的参考证据。采购方在实际POC中，不应仅接受厂商预先准备的静态图片，而应要求厂商现场检索对应威胁源，并核对原始来源、发布时间、系统首次收录时间及内容完整性。

本章所列零零信安系统截图仅用于说明可验证的证据形式，并非排他性标准。其他厂商能够提供同等质量、可独立核验的证据，也应得到同等认可。

考察点1：能否采集全球顶级暗网黑客社区的原始情报

背景

全球顶级顶级暗网黑客社区，也被称为“高壁垒/高墙社区（High-Wall）”，包括：Exploit、XSS、Ramp4u等。从诞生至今，大多数IAB（初始访问权限）、0day、一手高价值数据交易，都在这里首发。Ramp4u 已于2026年初被FBI查封，XSS在2025年被多国联合执法、重启，之后分裂出DamageLiB，XSS的威胁并未降低，而DamageLiB由于运营策略变化，威胁性有所下降，但并未消失。

价值点

这类论坛审核严格、设有担保与信誉机制，内容质量明显高于普通黑客论坛，真实性也更高。尤其是与企业直接防御相关的 IAB 和 0day 内容，监测价值高于一般论坛。

考察点

作为长期（超过十年）与FBI等执法机构正面硬刚的顶级黑客社区，其防渗透机制极强，是否能够长期正常采集其内容是检测专业厂商工程能力的重要指标。

解题答案

以下截图为答案样例，供参考。

图示1：0.zone暗网监测系统采集的Exploit顶级暗网黑客论坛镜像截图（中文为浏览器翻译）

考察点2：能否持续跟踪暗网核心社区的内部事件

背景

暗网黑客圈并非一团和气，黑吃黑、打击报复、构陷、曝光是常态。例如：REvil这起事件就是一次典型的勒索组织核心成员对加盟商黑吃黑，以及被他人曝光的具体实例。

价值点

监测顶级核心社区中的招募、撕逼、八卦、截胡、甚至人肉开盒等事件，不仅能够为防御者提供趋势与警示，还有机会对暗网威胁行为者进行画像与实体溯源归因，为执法提供强有力的情报与证据。

考察点

专业厂商及其运营的爬虫和账号，是否有能力在暗网核心社区中长期渗透和潜伏，并批量、持续、完整的输出情报信息，考察核心是厂商的OPSEC（作战/操作安全）能力。能够采集并留存REvil背刺加盟商事件的核心原始截图，需要多年一贯的采集能力和OPSEC能力。

解题答案

以下截图为答案样例，供参考。

图示2：0.zone暗网监测系统采集的REvil背刺加盟商事件的核心发布内容镜像截图（中文为浏览器翻译）

考察点3：能否应对暗网生态的高频断层

背景

全球视角，现代暗网黑客的大规模泛化，起于Breachforums体系（上线当年即成为暗网黑客社区年访问量TOP1）。在Raidforums创始人Omni被抓，论坛被取缔之后，Pom创立了Breachforums并继承了Omni的意志。随后经过多年演变与爱恨情仇狗血剧情，历经Pom掌权-被抓、Baphomet掌权-被抓、IntelBroker掌权-被抓，James发表莎士比亚般的诅咒诗，以及ShinyHunters断断续续最终接手，以及两次分裂，直到今天，它仍然屹立不倒。

价值点

暗网生态是一部“亚文化人类史”，而由于其执法特殊性，会频繁出现断层。如何做到熨平发展褶皱、保持生态持续性，以达到事件可比对、证据可追溯，是进行真假事件分析、新旧事件研判、历史事件轨迹连续性跟踪的核心能力。

考察点

专业厂商是否有针对暗网高频持续变化的追踪能力，避免其波动影响，持久证据留存，为监测-研判-处置-汇报提供足量原始素材。该能力往往可以为企业提供更多的真实可辩护性。

解题答案

以下截图为答案样例，供参考。

图示3：0.zone暗网监测系统采集的初代Breachforums正式官宣启动和欢迎的历史公告镜像截图（中文为浏览器翻译）

考察点4：监测开放型暗网黑客社区的能力和覆盖广度

背景

国际行业惯例通常会将暗网黑客社区源按照访问门槛分为：“高壁垒社区（High-Wall）”和“开放社区（Open-Access）”。我们耳熟能详的Breachforums、PWN、Darkforums、Raidforums（复活版）、LeakBase、DarknetArmy等，都属于后者。它们的特点是基数多（约数十至上百个活跃源）、发布内容庞大且质量参差不齐。

价值点

开放社区由于参与门槛低，其数据售卖和发布的数量是高壁垒社区的数十倍，大量针对我国的数据贩卖事件都发源于此，对它们的监测是暗网监测和数据泄露监测的核心工作之一。

考察点

属于专业厂商的基础能力，整体难度偏低，但覆盖面是否完整仍需核实。本项考察以在开放社区中运营相对严谨的PWN为例。

解题答案

以下截图为答案样例，供参考。

图示4：0.zone暗网监测系统采集的PWN某次数据泄露发布镜像截图（中文为浏览器翻译）

考察点5：中文暗网生态监测能力与覆盖情况

背景

中文谱系暗网有别于国际其他暗网生态，现有持续存活的和波动存活（时有时无）的主要中文暗网威胁源包括：长安不夜城、暗中/DeepMix（暗网中文交易市场）、自由城、自由国度、夜上海、6chan、串子会、北方故国/澪川等等。

价值点

中文暗网社区中，包含大量对于我国数据的发布、售卖和泄露。对他们的全量监测，是国内暗网监测工作最重要的工作之一。

考察点

属于基础能力，难度偏低，但中文暗网生态的了解是隐性门槛。本次选取活跃度与知名度均为中等的“自由国度”作为考察对象。

解题答案

以下截图为答案样例，供参考。

图示5：0.zone暗网监测系统采集的自由国度的某次数据泄露发布镜像截图

考察点6：对勒索组织泄露站的全量覆盖能力

背景

全球出现过的勒索组织已超过500个，目前活跃的超过150个（近1年有过勒索活动）。每年全球勒索事件正在以高于30%的速度增长，随着AI智能体对于勒索组织的赋能，2026年全球年度勒索事件预计首次超过1万起。

价值点

超过90%的勒索组织发布事件采用了双重勒索（加密+泄露），绝大部分勒索事件在失败后选择“撕票”（公布窃取数据），以增加后续对其他企业勒索的威慑力。第一时间掌握勒索事件并判断其影响范围和风险，是后续处置策略控制的关键节点。

考察点

专业厂商是否拥有独立监测全量勒索组织和勒索事件的能力。

解题答案

以下截图为答案样例，供参考。

图示6：0.zone暗网监测系统采集所有活跃勒索组织发布站和事件的截图

考察点7：一手勒索事件的情报获取能力

背景

每年勒索组织层出不穷，近年来稳居榜首的勒索组织包括Qilin、Akira、The Gentlemen、DragonForce等。

价值点

第一时间发现并获取一手勒索事件的原始情报，对于后续无论是进行事件研判、影响分析，还是威胁行为者画像与可能的溯源归因，都有非常重要的价值。

考察点

第三方勒索监测站往往因为使用文本提取、静态截图等方式保存情报，可能丢失部分实体信息。专业厂商是否拥有独立采集一手勒索事件情报的能力，是主要考察项。

解题答案

以下截图为答案样例，供参考。

图示7：0.zone暗网监测系统采集的某次勒索并泄露（撕票）事件原始一手情报镜像截图（中文为浏览器翻译）

考察点8：Telegram消息与附件的自动化解析能力

背景

Telegram地下群组/频道，是数据泄露、贩卖、发布的另一个重要渠道，此外Telegram还承载着“侵公（侵犯公民个人隐私）”事件的发布、交易渠道。与网络犯罪有关的Telegram活跃群组/频道约数千个。

价值点

数据泄露监测的基础能力。

考察点

Telegram的群组/频道消息监测技术并不复杂，但其发布的附件，包括图片、文件、表单等承载着更具研判价值的信息，对其进行获取与自动化解析是重要的技术能力。

解题答案

以下截图为答案样例，供参考。

图示8：0.zone暗网监测系统采集的Telegram群组/频道消息附件内容自动解析镜像截图

考察点9：公开网络中代码与文档泄露的检测能力

背景

GitHub、GitLab、Gitee、百度文库、道客巴巴、CSDN、豆丁等等各类代码仓库、社区、文库、网盘等，是员工、开发者、上下游合作伙伴、用户等“不小心”泄露的重灾区。

价值点

数据泄露监测的基础能力。

考察点

对大量公开网络泄露威胁源的爬虫采集能力。

解题答案

以下截图为答案样例，供参考。

图示9：0.zone数据泄露监测系统采集的互联网暴露数据库认证信息截图

考察点10：以合规的方式验证凭据泄露的检测能力

背景

凭据泄露，尤其是带有未加密的密码信息的登录凭据，最主要的来源是“Stealer”，也被称为“窃密木马”。企业用户和员工的登录凭据泄露，很大原因并非自身的数据被泄露或被窃取，而是登录者本人电脑被植入了Stealer软件。它们是最常见的“暗网商品”之一，也是暗网黑客和勒索软件加盟商最常用的攻击手段ATO（账号接管攻击Account Takeover）最主要的基础设施之一。

价值点

通过持续监测窃密日志等威胁情报，企业可在用户或员工凭据发生泄露的第一时间识别风险并启动处置：强制重置受影响账号的认证口令，同时吊销相关会话令牌（Session Token）与浏览器 Cookie，终止其已认证状态，从而阻断攻击者利用有效会话绕过口令及多因素认证实施账号接管。

考察点

厂商是否有Stealer情报，提供ATO风险监测的技术能力。

解题答案

以下截图为答案样例，供参考。

图示10：0.zone凭据泄露监测系统发现的泄露信息截图

第 04 章国内暗网监测和数据泄露监测厂商有哪些？

我国暗网监测和数据泄露监测起步较晚，本文仅列出国内明确提供该产品/服务的代表厂商。以下厂商列表，不构成排名，厂商能力描述均为其公开自述摘要，未经第三方验证。

第 05 章国际暗网监测和数据泄露监测厂商参考

国际该领域专业厂商大约从2010年左右陆续入场，比国内早约10-15年（这里说的不是国内外厂商成立时间，指的是规模化该业务的时间）。以下厂商列表，不构成排名。

第 06 章从国内外厂商能力宣传和技术披露差距观察到的问题

能力泛化：暗网监测和数据泄露监测的相关技术不等于核心能力

在国内网络安全市场中，一个值得关注的现象是，部分厂商在宣传暗网监测和数据泄露监测产品时，将多种原本属于不同技术领域的能力进行组合，并统一归纳为暗网监测或数据泄露监测能力。

例如，资产测绘、攻击面管理（ASM/EASM）、IOC情报、漏洞情报、Tor基础设施探测、数字风险保护服务（DRPS）、APT威胁情报、资产失陷监测，以及AI、大数据等技术，经常出现在相关产品的能力介绍中。

这些技术本身都有各自的应用价值，也可以作为综合安全产品的组成部分。但需要明确的是：具备某项相关安全技术，并不意味着具备暗网监测或数据泄露监测能力。不同技术解决的问题、数据来源和最终交付结果并不相同，不能简单地相互替代。

首先，资产测绘和攻击面管理（ASM/EASM）主要用于发现企业暴露在互联网中的资产、服务、端口及潜在安全风险。其核心是识别企业外部攻击面，而不是发现已经被窃取、出售或传播的企业数据。发现一个暴露在公网中的服务器，不代表能够发现该服务器中的数据是否已经出现在地下交易市场。

其次，IOC情报和漏洞情报主要用于识别恶意基础设施、攻击指标、已知漏洞及相关攻击活动。IOC（Indicators of Compromise）通常是能够表明攻击正在发生或系统可能已经遭到入侵的技术迹象；漏洞情报则关注漏洞本身、影响范围及利用情况。它们属于威胁情报的重要组成部分，但并不直接证明厂商具备地下论坛内容采集、数据泄露发现或泄露凭据监测能力。

第三，Tor基础设施探测与暗网内容采集也存在明显区别。发现Tor节点、识别隐藏服务地址，属于网络基础设施发现和测绘能力。能够发现一个暗网网站，并不意味着能够通过其访问控制机制，进入论坛内部获取帖子、回复、交易信息及附件。网络节点发现、服务访问、社区认证和内容采集是不同的技术环节，不能将节点数量直接等同于有效情报源数量，更不能将其等同于实际采集的数据量。

第四，数字风险保护服务（DRPS）、品牌保护和互联网舆情监测，主要关注企业在外部数字环境中面临的风险，例如仿冒网站、钓鱼网站、品牌滥用、社交媒体风险和网络舆情等。部分DRPS产品也会整合暗网及地下数据监测功能，但这并不意味着所有DRPS产品都具备专业暗网情报采集能力。发现一个仿冒企业官网，与发现企业数据库正在地下论坛出售，是两种不同的监测任务。

第五，资产失陷监测与数据泄露监测也不能混为一谈。前者关注企业资产是否已经遭到入侵、失陷或被攻击者控制；后者关注企业数据是否已经被非法获取，并在外部网络环境中出现传播、交易或公开披露。资产失陷可能导致数据泄露，但两者并非必然同时发生，也不能通过其中一项能力替代另一项能力。

此外，APT（高级持续性威胁）情报也经常出现在部分暗网监测产品的能力介绍中。需要明确，APT描述的是具有较强资源和专业能力、能够长期实施攻击活动的威胁行为者及其攻击行为，而暗网是可能承载地下交易、信息传播和威胁协作的网络环境。两者属于不同维度。APT组织可能利用暗网购买初始访问权限、交易窃取的数据或开展其他活动，但研究APT攻击活动、提供APT情报，并不自动意味着具备暗网监测能力。

最后，AI和大数据更不应该被当作独立的暗网监测能力。AI可以用于情报分类、关联分析、实体识别和自动化研判，大数据技术可以支撑海量数据的存储、检索和处理。但这些技术解决的是数据处理和分析问题，并不能替代底层的数据来源与采集能力。没有真实、持续的数据采集，AI再先进、大数据平台规模再大，也无法凭空产生有效的暗网情报。

这里需要强调，我们并不否定上述技术在综合安全产品中的价值。事实上，成熟的暗网监测和数据泄露监测平台完全可以整合这些能力，为客户提供更完整的安全服务。真正的问题在于，不能将相邻技术的存在直接作为暗网监测和数据泄露监测能力的证明，更不能通过功能叠加模糊产品的实际技术边界。

对于采购方而言，如果没有区分这些技术的实际作用，就可能出现产品功能清单看似非常丰富，实际采购结果却与业务需求不匹配的情况。例如，企业希望发现被盗凭据在地下论坛中的交易，最终采购到的却主要是互联网资产测绘能力；企业希望监测数据库泄露和Stealer日志，最终获得的却主要是品牌仿冒和舆情监测服务。

这些产品可能都具有商业价值，但并不能解决相同的问题。

暗网监测和数据泄露监测的核心，仍然是能否持续获取真实的外部威胁源数据，发现其中与企业相关的数据暴露、泄露、交易和传播活动，并将其转化为可核验、可追溯、可处置的情报。其他安全技术可以增强这一能力，但不能替代这一能力。

监测范围模糊：暗网不是一个网站，而是复杂的地下威胁生态

暗网监测领域另一个值得关注的问题，是部分厂商对监测范围的描述过于笼统。例如，仅以“暗网监测”“全球暗网覆盖”“各种信息泄露渠道”等概括性表述介绍产品，却没有进一步说明具体覆盖哪些论坛、交易市场、勒索组织及地下社群，也没有说明实际监测哪些类型的数据。

这种描述方式容易让采购方产生一种误解：暗网是一个相对统一的网络空间，只要厂商宣称具备暗网监测能力，就意味着能够覆盖其中主要的威胁信息。实际上，暗网并不是一个网站，也不是一种单一的社区形态。尤其是网络安全领域所关注的地下威胁生态，其组成非常复杂，不同平台在访问门槛、运营方式、交易内容、信息传播渠道和参与者构成方面都存在明显差异。

仅以与网络犯罪和网络安全相关的地下生态为例，就至少包含以下几类不同的威胁源：

上述分类是按照威胁源的功能和活动形态进行划分，并非互斥的技术分类。例如，Russian Market既属于自助式数据交易市场，也具有Stealer日志交易市场的特征；综合型交易市场也可能同时经营多种网络犯罪相关商品。

这里尤其需要区分传统暗网与更广泛的地下威胁信息生态。Telegram并不是Tor、I2P意义上的传统暗网，但其公开频道、封闭群组和交易社群已经成为网络犯罪活动及地下威胁情报的重要来源。因此，在网络安全情报业务中，监测范围不能仅以是否使用Tor或I2P作为判断标准，还应考虑相关平台是否承载地下网络犯罪、数据泄露交易或威胁协作活动。

例如，Nemesis Market曾经是一个综合型暗网交易市场，除其他非法商品外，也存在被盗金融信息、恶意软件和网络犯罪服务等交易。该市场已于2024年被执法机关关闭，因此在这里作为历史生态案例，而非当前活跃威胁源。Russian Market则具有不同的经营模式，其交易内容包括窃密日志及受感染设备数据，日志中可能包含账号凭据、Cookie、自动填充信息和Session Token等。两者虽然都属于地下交易生态，但所承载的数据类型和监测需求并不相同。

由此可以看出，仅仅宣传“监测暗网”，实际上无法让采购方判断厂商究竟覆盖了上述哪些威胁源。一个只监测开放式黑客论坛的产品，与一个能够持续采集高壁垒黑客论坛、地下交易市场、Stealer数据市场及勒索组织泄露站点的系统，显然不能被视为具有相同的监测覆盖能力。

除了监测哪些平台，还需要进一步明确监测哪些数据。威胁源覆盖范围与数据内容覆盖范围是两个不同的维度。即使厂商能够访问某个论坛或交易市场，也不代表能够获取其中所有类型的信息，更不代表具备对相关数据进行识别、关联和分析的能力。

对于企业而言，真正需要关注的数据类型至少包括：

这些数据可能分布在不同的论坛、交易市场、Stealer日志平台、勒索组织网站和Telegram社群中。不同的数据对象需要不同的采集、识别和处理能力。例如，能够获取数据库售卖帖，不代表能够解析Stealer日志；能够发现企业邮箱和密码泄露，也不代表能够第一时间监测到勒索事件。采购方不能仅根据厂商宣称覆盖了多少个网站或论坛，就推断其具备完整的数据泄露监测能力。

此外，语言覆盖也是衡量暗网监测范围时容易被忽略的一个重要维度。国际地下威胁生态并非只有英文内容，还涉及俄文、中文及其他多种语言。不同地区的地下社区有各自的交流习惯、行业术语、黑话和交易方式，仅仅具备网页访问能力，并不意味着能够准确理解和处理其中的信息。

对于中国企业而言，中文地下生态尤其值得关注。与中国企业及个人相关的数据泄露、账号凭据交易和个人信息传播，并不一定发生在国际知名的英文或俄文黑客论坛中。中文黑客论坛、中文Telegram频道、封闭交易群组以及专门从事侵公、查档的群组，都可能承载与中国企业和个人直接相关的威胁信息。如果厂商仅仅宣传“全球暗网监测”，却没有说明中文威胁源的覆盖情况、中文内容的采集和分析能力，采购方仍然无法判断其是否能够满足中国市场的实际需求。

上述问题最终指向一个更深层次的现象：暗网监测市场存在明显的信息不对称。

对于长期从事暗网情报工作的专业人员而言，不同论坛、交易市场、勒索组织和地下社群的功能差异并不难理解。但对于很多企业，尤其是政府部门和央国企的网络安全人员而言，暗网生态并不是日常工作的主要接触领域。尤其是管理层，可能知道暗网存在数据泄露和黑客交易，却未必了解高壁垒论坛与开放式论坛的区别，也未必清楚综合型交易市场、自助式凭据市场、Stealer日志交易生态和勒索组织泄露站点分别承担什么功能。

这并不是采购方的专业能力不足，而是地下威胁生态本身具有较高的认知门槛。在这种情况下，如果厂商仅使用“暗网监测”“全球多渠道覆盖”“各种信息泄露渠道”等笼统表述，采购方实际上很难进一步判断产品的真实覆盖范围，甚至不知道应该从哪些方面设计POC测试。

例如，企业希望采购的是能够发现Stealer日志中企业账号凭据泄露的产品，但厂商宣传的暗网监测可能主要覆盖公开黑客论坛；企业希望发现中文地下交易群组中的客户数据交易，但厂商实际覆盖的可能主要是国际公开网站。产品名称和宣传口径看起来相同，实际监测范围却可能存在巨大差异。

因此，暗网监测厂商至少应当明确披露以下内容：具体覆盖哪些类型的威胁源及代表性平台，是否包括高壁垒论坛、开放式论坛、地下交易市场、Stealer数据市场、勒索组织泄露站点及Telegram社群；能够监测哪些类型的数据，包括暗网发布事件、泄露凭据、初始访问权限（IAB）、勒索事件、API Key、敏感文件泄露等等；支持哪些地下生态；以及相关数据是如何获取、保存和更新的。

暗网监测不是对某一个网站的监控，而是对复杂地下威胁生态中不同信息来源、交易活动和数据泄露行为的持续监测。厂商如果不能明确说明自己的监测对象、数据类型和生态覆盖范围，仅仅用一句“暗网监测”概括全部能力，那么采购方就无法准确判断其真实能力，更无法据此形成有效的采购和验收标准。

统计口径模糊：庞大的数据规模不等于真实的情报能力

数据透明程度是衡量暗网监测和数据泄露监测系统能力的重要参考指标之一。数据来源的数量、采集规模、历史数据积累量以及有效情报数量，都可以在一定程度上反映厂商的技术能力和运营规模。但前提是，厂商必须明确这些数字究竟统计的是什么、来自哪里，以及采用什么计量单位。

目前，部分厂商在公开宣传中使用了大量规模化数字，例如“累计形成百亿级情报数据池”“日均采集情报超过8000万条”“日常活跃监测11000个”等。这些数字看起来非常庞大，但如果缺少必要的统计定义，外部人员实际上无法理解其具体含义，更无法据此判断厂商的真实情报采集能力。

首先，“百亿级情报数据池”究竟统计的是什么？是暗网论坛中的帖子、勒索组织发布的受害者信息、Telegram消息、Stealer窃密日志，还是泄露数据库中的个人信息记录？这些数据来自黑客论坛、地下交易市场、勒索组织泄露站点、Telegram，还是包含其他互联网渠道及第三方情报数据？

即使数据来源明确，还需要进一步说明计量单位。一篇论坛帖子可以算一条记录，一起数据泄露事件可以算一个事件，一份数据库可以算一个文件，而数据库中的每一条个人信息也可以单独计数。例如，一篇论坛帖子宣称出售一份包含1000万条个人信息的数据库，如果按照不同统计口径，可能分别得到1条帖子、1起泄露事件、1份数据库文件或1000万条个人信息记录。这些数字都可能是真实的，但显然不能混称为1000万条独立情报。

此外，还需要明确数据是否经过清洗、去重和真实性验证。同一份数据库可能以不同的标题、名称或受害者信息和不同时间发布在多个威胁源中，在对这类情报进行采集或者对这些数据进行清洗分析时，会因为清洗和去重口径的不同出现差异。因此，所谓“百亿级情报数据池”，究竟指原始采集记录、数据字段、泄露凭据，还是经过清洗去重后的威胁情报，需要有明确的定义。

其次，“日常活跃监测11000个”同样存在统计对象不明确的问题。这里的11000个究竟是IP地址、域名、Tor隐藏服务、暗网节点、黑客论坛、交易市场、Telegram频道，还是其他类型的威胁源？不同对象所代表的技术能力完全不同，不能使用一个没有定义的“个”字将其统一概括。

尤其需要区分网络节点数量、威胁源数量和实际内容采集数量。监测11000个IP地址，不等于监测11000个暗网论坛；发现11000个Tor节点，也不等于拥有11000个有效情报源。网络测绘发现的节点、能够实际访问的服务，以及能够持续获取内容的威胁源，是不同层次的统计对象。

再次，“日均采集情报超过8000万条”也需要明确统计口径。这里统计的是原始采集消息，还是经过处理的有效情报？是每日新增记录，还是包含重复采集、内容更新和历史数据重新导入的记录？是否包含Telegram普通消息、转发消息、附件以及第三方数据源？这些问题都会直接影响数字的实际含义。再有就是合理性推断，如果每天暗网中能产出8000万条网络安全情报，这个数量比每天全球产出的新闻总量还要多。

毁灭吧，累了。

因此，在评价暗网监测和数据泄露监测厂商的数据规模时，至少需要区分以下统计对象：

上述指标分别反映不同的数据规模和运营能力，不能简单相加或相互替代。例如，10亿条泄露凭据、100万个论坛帖子和1万个独立泄露事件，不能简单累加后宣传为10.01亿条情报。它们属于不同的统计对象，彼此之间也可能存在包含、关联和重复关系。

对于采购方而言，厂商公布数据规模时，至少应当明确以下六项内容：一是统计对象，即统计的是帖子、消息、文件、凭据、数据记录还是独立事件；二是数据来源，即来自哪些论坛、交易市场、勒索组织、Telegram或其他渠道；三是计量单位，即具体使用条、份、个还是起等单位；四是统计周期，即累计、年度、月度、日均还是峰值；五是数据处理方式，即是否经过清洗、去重和分析，是否包含第三方数据；六是统计状态，即属于原始采集数据、已处理数据、已格式化数据等。

这并不是要求厂商公开商业秘密或完整的数据源清单，而是要求其对外公布的数据具备基本的可解释性。采购方可以进一步要求厂商提供数据字典、统计规则、脱敏样本及抽样核验结果，以确认相关数字的实际含义。

需要强调的是，数据规模本身并不是越大越好。对于暗网监测和数据泄露监测系统而言，真正有价值的是能够持续获取有效数据，识别其中的真实威胁信息，完成数据清洗、去重、关联和验证，最终形成可检索、可追溯、可供企业采取行动的情报。单纯扩大原始数据采集量，却没有相应的数据处理和情报生产能力，并不能直接转化为更好的监测效果。

庞大的数据规模可以作为厂商展示技术能力的参考，但不能脱离统计对象、数据来源、计量单位和处理规则进行孤立评价。一个无法说明自己统计了什么、如何统计以及统计结果代表什么的数字，无论看起来多么庞大，都不足以证明厂商具备相应的暗网监测和数据泄露监测能力。

第 07 章国内暗网监测和数据泄露监测厂商能力披露透明度排名

综合前六章的分析可以看出，网络安全厂商公开披露的能力透明程度，并不能直接等同于其实际技术能力。厂商披露较少，不代表其实际能力不足；公开宣传内容丰富，也不必然意味着其具备相应的真实能力。

但能力披露透明度仍然具有两方面的重要参考价值。一方面，公开、具体的能力披露能够帮助企业在采购前了解厂商的技术能力、监测范围及实际覆盖的威胁来源，使企业能够基于公开信息对厂商进行初步判断和横向比较。另一方面，真实具备相关技术能力的厂商，通常也更有条件将自身的技术能力、监测范围、数据来源及运营成果进行具体披露，从而接受市场和客户的检验。这一特点在国际同类型专业厂商中表现得较为明显。

因此，本文基于各厂商公开披露的信息，从暗网监测类型、明网监测类型、具体监测源披露情况及可检验数值指标等方面，对中国提供暗网监测和数据泄露监测产品及服务的主要厂商进行透明度排名，供企业在选购相关产品和服务时参考。

需要说明的是，本排名评价的是厂商的公开披露透明度，而非实际技术能力或综合市场竞争力。排名结果仅作为企业初步了解和筛选厂商的参考，具体能力仍应结合产品演示、POC测试及实际交付情况进行验证。

把十家厂商的披露情况放在一起看，有几个现象比较明显：

第一，披露颗粒度差异很大。在“可检验监测源披露”这一列，有的厂商点名了二十多个具体平台，有的只列出一两个，还有的在公开材料中未见明确点名。点名越具体，采购方越容易设计现场核验；反之，则只能依赖厂商自述。

第二，与国际厂商相比，国内厂商数值指标的口径普遍不够清晰。多家厂商给出了规模数字，但很少有材料同时说明统计对象、数据来源、计量单位和统计周期。这正是6.3章节讨论的问题——数字本身可能是真实的，但缺少口径就无法横向比较。

第三，暗网监测类型的描述详略不一。有的厂商按威胁源类型逐项列出，有的则使用“暗网论坛”“地下交易市场”等概括性表述。对采购方而言，前者的可核验性明显更强。

第四，明网监测类型的披露相对整齐。十家厂商在这一维度上的表述高度相似，基本都覆盖代码仓库、文档社区、开发者社区和网盘。这说明该能力已较为成熟，但也意味着它难以成为差异化的判断依据。

因此，这份对照表更适合作为选购前的“提问清单”使用：把表中空白或笼统的地方，转化为向厂商提出的具体问题，再通过POC现场核验来获得答案。这比单纯比较谁的数字更大，更有实际意义。

第 08 章总结

综合来看，暗网监测和数据泄露监测的选型，难点不在于“有没有这个功能”，而在于“能不能验证这个功能”。结合前述考察点，选购暗网监测和数据泄露监测产品和服务可以从以下几个方向设计评估方案：

把POC做成“现场检索”而不是“看图说话”。要求厂商在采购方面前，针对指定的威胁源、指定的关键词现场检索，并核对原始来源、发布时间、系统首次收录时间。

用自有域名、邮箱域做合规验证。凭据泄露、代码泄露、文档泄露这几类，企业可以用自己的资产做真实测试，这是少数能当场出结果的环节。

要求厂商说明监测范围的具体清单。不是“覆盖全球暗网”，而是覆盖哪些类型的威胁源，如果威胁源数量多大，可以选择列出代表性平台，尤其标注哪些属于中文地下生态。

要求厂商解释数据口径。任何一个规模数字，都应当能回答“统计的是什么、来自哪里、单位是什么、周期是什么”。

区分“相关能力”与“核心能力”。资产测绘、攻击面管理、漏洞情报、舆情监测都有价值，但不能替代地下数据采集与泄露发现。

关注证据的可追溯性。一份可核验的情报，应当能回溯到原始地址、原始发布时间和原始发布者、原始富文本，而不只是一张截图。

最后需要说明的是，暗网监测和数据泄露监测并不是“买了就安全”的产品。它的价值在于缩短从“数据外流”到“企业知晓”之间的时间差，以及本次泄露事件的真实性与危害程度研判，让补救、处置、通知、报告这些法定动作有可执行的起点。对采购方而言，选型的核心不是找到功能最多的产品，而是找到能够提供可验证、可追溯、可持续的那一个。