网络犯罪即服务：范围综述

《ACM Computing Surveys》：Cybercrime as a Service: A Scoping Review

　　

摘要
AI 摘要
要查看此 AI 生成的摘要，您必须拥有高级访问权限。
了解更多
登录
摘要
云计算极大地改变了以服务为导向的结构中交付信息技术的方式；然而，这也反映在了网络犯罪领域。网络犯罪即服务（CaaS）是一种经济模型，其中技术熟练的行为者向非技术行为者提供给定的网络攻击作为端到端服务，后者为此服务支付订阅费。这些服务范围、目标和交付模式各异，包括从漏洞发现、攻击交付和攻击本身到给订阅者的经济回报的一切内容。在这项范围界定文献综述中，我们分析了来自学术和灰色文献的 195 篇文章，旨在调查文章研究的服务、方法论方法以及 CaaS 模型预计如何在未来发展。我们的综述表明，该模型的进一步商业化将进一步降低进入网络犯罪领域的门槛，增加攻击的复杂性，并增加服务提供商及其生态系统的韧性，这将导致当局更难关闭服务。此外，随着该模型变得更加易于访问，有组织犯罪集团和极端分子等行为群体也可能使用它，这可能对网络和物理领域的犯罪活动产生影响。

AI 摘要
AI 生成摘要（实验性）
此摘要是使用自动化工具生成的，并非由文章作者撰写或审查。它旨在支持发现，帮助读者评估相关性，并协助相邻研究领域的读者理解该工作。它旨在补充作者提供的摘要，后者仍然是论文的主要摘要。完整文章仍然是权威的记录版本。点击此处了解更多。
点击此处评论此摘要的准确性、清晰度和有用性。这样做将有助于通知改进和未来重新生成的版本。要查看此 AI 生成的通俗语言摘要，您必须拥有高级访问权限。

1 引言
云计算的最新发展和全球疫情加速了我们生活方式的改变；这种生活，即比以往任何时候都更加在线。尽管这种新的生活方式促进了日常活动的显著改善，但也增加了不良行为者能够且正在利用的在线犯罪机会的范围和数量。除了在线犯罪机会发生变化之外——也许作为对此的回应——许多犯罪分子的运作方式也发生了变化。过去许多犯罪者会独自工作以实施在线犯罪的各个方面，而一种相对较新的商业模式，称为网络犯罪即服务（CaaS），正在演变，其中犯罪的技术部分实际上被外包了。

CaaS 指的是一种经济模型，其中技术熟练的行为者将工具包作为打包服务提供，易于访问工具和框架，提供经验较少的不良行为者进行成功网络攻击所需的所有服务，否则这些服务可能超出他们的能力范围 [1-3]。CaaS 类似于一切即服务（XaaS）范式，后者涉及在环境中可用的独立服务的汇编中创建新服务 [4]。最常见的是，在讨论 XaaS 时，业界会谈论软件即服务，这被定义为“软件托管在外部并通过 web 交付的软件交付范式” [5]。服务按需可用，过程纯粹作为商业运作，包括订购、交付和开票 [6]。在合法和非法企业中，该模型还为应用程序提供自主扩展，并将支付系统从按用量付费（即每次操作付费）转变为基于订阅的支付模式。CaaS 经济中的一个常见模型包括三个重要的行为者群体：（i）一小群（非常）技术熟练的生产者（操作员），他们提供犯罪软件利用（例如勒索软件和木马）的服务。（ii）稍大一群行为者，他们对服务进行打包、货币化、分发、广告并提供支持。最后，（iii）购买服务并用于个人利益的使用者 [6, 7]。CaaS 宣传的主要场所是黑客论坛、黑客商店和暗网；然而，实际的交易和交接通常发生在私人通信渠道上 [8]。因此，关于这一主题的大部分学术研究涉及分析可以找到此类广告的地下论坛和市场。

从犯罪学的角度来看，人们可能会考虑理性选择视角，该视角认为犯罪者是一个旨在通过评估其行为的感知风险、努力和利益来最大化效用的理性行为者 [9, 10]。将其应用于 CaaS 模型，服务提供商和服务用户都有可能获得高回报和低风险。它降低了经验较少的行为者执行复杂攻击的门槛，从而降低了努力程度。这使得越来越复杂的攻击得以进行，这可以促进新的高级威胁的快速发展 [11, 12]。此外，CaaS 可以使网络犯罪组织更加灵活和结构化，不像一家拥有多个角色以最大化利润和扩大服务范围的 IT 公司（见图 1）。此外，有迹象表明地下市场根据经济原则运作。例如，供需的相互作用作为一些与网络犯罪相关的服务、工具和商品的有价值定价机制 [13]。

图 1. CaaS 运营中的示例角色 [13–15]。

本文呈现了关于 CaaS 的新兴文献的范围综述，特别关注文献中调查的服务、使用的方法论方法以及 CaaS 的预测未来发展趋势。据我们所知，迄今为止还没有关于该主题的系统或范围文献综述（SLR）。由于 CaaS 模型涵盖了通过数字平台促进的广泛非法活动，通常涉及技术、经济、法律和社会学领域之间的复杂相互作用，研究可能由各个学科的人员进行。因此，SLR 将对盘点这一快速发展的问题具有重要价值，但也将综合跨越学科碎片化文献的已知内容。此外，重要的是，SLR 提供了一种严谨且透明的方法论来评估现有研究的质量和范围，这可以突出文献中的差距，指导未来研究（包括需要进行采用更严谨方法论的研究），并为基于证据的政策和实践提供信息。

文章的其余部分组织如下：首先，向读者呈现一个背景部分，讨论 CaaS 的发展、当今的 CaaS 以及研究该主题的挑战。接下来，我们描述采用的方法论。随后的部分总结了综述中包含的文章，并讨论论文中确定的常见主题，关于分析的服务、未来趋势，以及文献中采取的方法论方法。第四节提出了对发现及其影响的讨论，并概述了论文的一些局限性。最后，第五节以关于未来工作如何塑造 CaaS 研究领域的建议作为结束。

2 背景
2.1 CaaS 的发展
图 2 提供了 CaaS 进化时间线中一些关键发展概况。尽管（网络）犯罪即服务这个术语相对较新，但租用网络犯罪工具的想法已经存在了一段时间，尽管用于更具体和狭窄的用例。有许多事件和网络攻击使用了类似 CaaS 的经济模式，而没有称其如此。例如，僵尸网络经济和钓鱼工具包自 2000 年代初就存在。即使在那时，工具包，通常以网站的形式存在，包含一个就绪部署的包，通常也包含详细的使用说明 [16]。然而，根据当代定义，这些实例不一定被视为“服务”，当代定义涉及与实体签订合同在一段时间内做某事，而不是完全拥有或购买软件 [17]。此外，在过去，产品买家仍须自己做相当多的工作才能成功生成自己的攻击。2006 年出现的恶意软件工具包在 2010 年代非常流行 [18-20]。2011 年，一个来源估计超过 60% 的恶意网站使用自制犯罪工具包来做脏活 [21]。然而，同样地，这些自制恶意软件工具包并不是作为自给自足的服务提供的。相反，它们是一组说明，行为者必须以他们喜欢的方式组装。也就是说，它们提供了赋能技术，但不是最终解决方案 [22]。这些工具包的转折点在于 MPack——第一个已知为利润而销售的犯罪工具包 [23]。这是作为脚本销售的，因此存在工具包盗版问题，即复制该脚本，稍微更改并作为新产品重新销售。从此以后，新的犯罪工具包经常带有反盗版功能，类似于商业软件。这包括限制在不同域上可能安装的数量等。这逐渐促成了一个更专业的犯罪工具包模型，可以认为是当今我们所知道的 CaaS 的前身。反映这一点，在 2010 年代初期，研究人员开始看到诸如提供托管、配置和传播恶意软件等附加服务的网络犯罪服务趋势 [24]。

图 2. CaaS 发展时间线。

可以说，第一次恶意软件即服务实例紧随 2011 年 Zeus 2.0.8.9 恶意软件源代码泄露之后。这意味着犯罪软件的销售变得无利可费，导致“Zeus 即服务”作为一种替代货币化策略 [25]。Zeus 即服务随后作为订阅服务提供，包括托管、配置和安装——行为者在购买恶意软件即服务时现在可以期望的大部分功能。自那时起，多个其他网络犯罪攻击开始变得更加工业化，可扩展到消费者，并作为服务提供。CaaS 模型被描绘为欧佩尔出版的每年互联网有组织犯罪威胁评估中网络犯罪地下世界的一个突出特征，评估国际网络威胁 [2]。

2.2 CaaS：问题的范围
截至 2025 年，CaaS 已演变为网络犯罪生态系统中的主导力量，一些来源估计它占所有观察到的网络威胁的 57% 以上 [26]。攻击性人工智能、自动化和基于云的基础设施的集成使低技能行为者能够以最小的努力发动复杂攻击 [27]。这些平台现在提供即插即用工具包、客户支持，甚至性能保证，模仿合法的 SaaS 商业模式。如今，根据框架承诺的服务类型，已识别出超过 30 种不同的 CaaS 类别 [28]。这些范围从非常针对性的攻击，如黑客即服务和分布式拒绝服务（DDoS）即服务，到勒索软件和数据即服务。然而，文献中没有完整的服务列表，研究的服务因作者而异。连同 CaaS 没有普遍接受的定义，CaaS 文献中也没有被接受的服务类型学。因此，研究往往缺乏对提供哪些 CaaS 服务以及它们在 CaaS 生态系统中的位置的概览。

作者往往对哪些服务最突出存在分歧。例如 [28] 发现，“僵尸网络即服务”、“声誉提升即服务”和“流量即服务”类别在供应和需求方面都是最突出的。然而，在 2020 年 [29] 报告说，恶意软件即服务的数量不断增加，尤其是移动恶意软件，这之前并不受欢迎，而具有最大影响的最流行服务是勒索软件即服务（RaaS）。

据估计，多达三分之二的勒索软件攻击是由 RaaS（勒索软件即服务）模式实现的，尽管仅根据攻击本身可能很难确定这一点 [30]。RaaS 的发展尤为引人关注，因为一些最新的趋势包括利用供应链攻击来破坏大型企业和公共机构的网络，以及利用新的多层勒索方法和勒索软件附属计划。附属计划作为一种替代方案提供，不同于经典的基于云的订阅模式，后者让任何支付订阅费的人都可以使用该服务。相反，附属层级作为佣金从勒索受害者那里勒索来的赎金中获得收入，并将其中一部分钱以类似于投资计划运作的方式交给攻击开发者。这些计划变得更加复杂，提供分层佣金结构和基于绩效的奖励。事实证明，这种模式比传统的基于订阅的服务更具可扩展性，允许开发者从成功的攻击中获利，而无需直接参与运营 [31]。从更基础设施的角度来看，灰色基础设施服务，例如防弹主机（即具有网络基础设施，能够抵御删除尝试和非法活动的投诉 [32]）、虚拟私人网络 (VPN) 以及非法的匿名加密货币交易所（如门罗币）和兑换服务，为这些罪犯提供了避风港。市场正在迅速扩张 [8, 11]，这要求它对新进入者开放。这意味着为了有效运作，过去在暗网上使用的那种封闭、经过审查且基于信任的犯罪网络模式已不再是最优选择 [28]。然而，完全开放的广告会带来增加的风险，这可能会抵消所实现的好处（即接触到更广泛的用户群）。因此，尽管市场和广告的性质比以前更加开放，但许多产品仅通过即时和私密消息直接传达给潜在买家。因此，开放市场仅代表 CaaS（犯罪即服务）景观的一小部分。某些服务甚至更容易获取。例如，深度伪造即服务已显示出可以通过 DeepFaceLab、ZAO 和 FaceSwap 等应用程序轻松获取，这些应用程序作为移动应用程序在应用商店上免费提供，且未采取适当的保障措施 [33]。某些服务也可以在基于零工的平台找到，在那里自由职业者提供这些服务 [34, 35]。CaaS 服务正日益部分甚至完全自动化，例如脱衣机器人、监控社交媒体动态以进行实时漏洞搜索、生成钓鱼内容、否定赎金支付等 [36]。在某些情况下，例如 Telegram 和移动应用程序上的脱衣机器人，服务作为“免费增值”套餐提供（基本设置免费，而某些功能需要付费的“高级”版）。付费服务将包括跳过长队生成视频或去除水印 [37]。

2.3 研究 CaaS 的挑战

与 CaaS 相关的威胁空间仍然需要大量的研究；然而，重要的是要注意，在研究 CaaS 本身时，有许多问题需要考虑。首先，对于一项提议必须包含什么内容才能被视为 CaaS，没有清晰且具体的定义。现有的相关文献使用了宽泛的定义，例如本文开头引用的那样。因此，人们可能无法正确定义 CaaS 究竟何时出现，并对市场上提供的各种不同服务进行分类。如果没有明确的定义，该领域的研究可能无法衡量相同的现象，并可能导致误解，这可能会影响研究结果的有效性和普遍性。研究 CaaS 时需要考虑的第二个挑战是，访问所有相关数据可能很棘手，因为许多交易发生在私人渠道（通过直接消息的一对一通信或暗网论坛）。由于其结构，这些渠道更难以找到和访问 [38]。研究人员试图通过使用网络爬虫从地下论坛收集数据来对抗数据访问问题。虽然这代表了现实世界中的取证调查，但它不是系统性的，且难以复制 [39]。由于反爬虫技术，数据可能会失真，并且论坛可能无法提供与所讨论的非法活动相关的数据。第三个问题是，一些市场和供应商使用虚假类别来模糊他们提供的产品。他们也可能使用不同的词汇和措辞，如同义词，以避免被发现 [40]。最后，重要的是过滤掉欺诈性帖子和文章——那些实际上不提供所讨论服务的帖子——尽管这些可能很难检测出来 [41]。

2.4 本项目的动机和目标

据我们所知，之前没有关于 CaaS 主题的系统性综合。本研究论文的目的是对 CaaS 文献进行跨学科的范围界定综述，以总结已知情况，识别潜在的研究空白，并评估研究的程度。为此，制定了以下研究问题 (RQ)：

RQ1：文献中讨论了哪些类型的服务？
如前所述，CaaS 没有一个公认的定义，也没有属于此类别的服务列表，因此，探索文献已研究内容的第一步是评估正在研究哪些服务。

RQ2：使用了哪些研究方法和数据来研究 CaaS？
为了优先评估和评估文献中研究结果的可靠性，并识别该领域的研究空白，总结之前研究人员用于研究 CaaS 的方法类型非常重要。

RQ3：文献中讨论了 CaaS 的哪些未来趋势？
由于 CaaS 一直是文献和新闻中的新兴趋势，综合作者认为的新兴趋势以及 CaaS 模式未来可能采取的方向很有价值。这对于跟上与恶意行为者和 CaaS 提供商之间的军备竞赛很重要 [42]。

为了实现研究目标，使用系统且明确的方法论对学术和灰色文献（见下文）进行了回顾，以识别、选择并批判性地评估纳入研究的结果。系统文献综述 (SLR) 被视为原创作品，因为它们是使用严格的方法论方法进行的。这种针对特定 RQ 的现有证据聚合，随后用于支持为研究人员和从业者制定循证指南。

3 方法

本节概述了研究的目标，并描述了采用的范围界定综述方法论，该方法遵循 PRISMA 声明指南 [43]，包括对纳入标准和使用的搜索策略的规范。它还详细介绍了如何从纳入的文章中提取数据以及如何综合研究结果。[43]。我们使用了内容分析法，因为这特别适合于分析大型、跨学科的数据集 [44]。本节中解释的完整方案可通过以下链接获取，以允许完全复现研究。

3.1 范围界定综述或“方法论”

在开展综述之前，我们制定了一份研究方案。1 该方案详细说明了要解决的 RQ、将搜索哪些电子数据库、我们的纳入标准和试点策略、文献管理、研究选择以及需要从论文中收集哪些数据。

3.1.1 搜索的电子数据库。
搜索了以下学术搜索引擎：Web of Science, IEEE Xplore, ProQuest, ACM Digital Library, Scopus, 以及提供灰色文献数据库覆盖范围的 Policy Commons 和 BASE。表 1 提供了这些数据库覆盖范围的摘要。这种基于出版场所区分灰色和学术文献（学术出版商用于学术界，非学术出版商用于灰色文献）的方法贯穿本文其余部分，以区分文章的来源2 [45]。

表 1.
| 搜索引擎 | 数据库描述 |
| :--- | :--- |
| Web of Science | 会议论文集引文索引、科学引文索引扩展版、社会科学引文索引、艺术与人文引文索引以及图书引文索引 |
| IEEE Xplore | 电气和电子工程师协会 (IEEE) 和工程技术协会收录的计算机科学、电气工程及电子学领域的索引文章和论文 |
| ProQuest | 图书馆与情报科学摘要 (LISA)、ProQuest Central（刑事司法数据库、计算机数据库、图书馆学数据库、科学数据库、社会科学数据库、心理学数据库以及涵盖技术和社会科学的大洲特定数据库（如澳大利亚与新西兰数据库、欧洲大陆数据库、东亚与南亚数据库、东欧与中欧数据库等））以及 ProQuest 全球学位论文与论文 |
| ACM Digital Library | 所有 ACM 出版物的全文数据库，包括期刊、会议论文集、技术杂志、通讯以及关于以下主题的书籍：人工智能、机器学习 (ML)、计算机视觉、自然语言处理、信息系统、搜索、信息检索、数据库系统、数据挖掘、数据科学、Web、移动和多媒体技术、社会与计算职业、应用计算：行业/商业、物理科学、生命科学、教育、法律、取证、艺术/人文、娱乐、图形和计算机辅助设计、网络和通信、架构、嵌入式系统和电子、机器人、硬件、电力和能源、人机交互、安全和隐私、软件工程与编程语言、计算理论，以及算法和数学 |
| Scopus | 爱思唯尔的摘要和引文数据库——Scopus 上的内容来自超过 5,000 家出版商，必须经过独立的内容选择与咨询委员会 (CSAB) 审查和选择，才能被索引在 Scopus 上并继续保留 |
| BASE | 来自超过 10,000 家内容提供商的 3 亿份文档。内容包括学术相关资源的元数据——期刊、机构知识库、数字收藏等 |
| Policy Commons | 来自政策专家、智库、政府间组织 (IGO) 和非政府组织 (NGO) 的研究文章集合 |

搜索引擎描述

我们决定不搜索行业报告，原因有二。首先，这些报告并未在如上的电子搜索引擎中进行系统索引。其次，更重要的是，我们认为行业报告可能存在偏差的风险，即展示那些公司（作为作者）提供了解决方案的威胁的画面。

3.2 搜索策略

研究的第一阶段涉及使用预先定义和优化的搜索查询来识别相关文章。对文献的初步搜索表明，已经确定了超过 30 种不同的服务作为 CaaS 的形式，范围从非常针对性的攻击，如黑客攻击和 DDoS 即服务，到勒索软件和僵尸网络即服务。为了尽可能多地捕捉跨学科研究社区中的恶意服务，使用的搜索术语故意不具限制性。使用的术语是：

"*ware" NOT "software" NOT "hardware" NOT "aware" OR "crime" OR "cybercrime" OR "attacks" OR "botnet" OR "mal*" AND "as a service" OR "as-a-Service" OR "for hire"

注：“*”表示通配符，例如，"*ware" 将识别“ransomware”（勒索软件）、“crimeware”（犯罪软件）、“malware”（恶意软件）等。

3.3 纳入标准

大多数文章采用两阶段筛选过程（见下文）。最初，使用我们的纳入标准筛选所有识别出的文章的标题和摘要（随后对全文进行了审查）。为了纳入文章，必须满足以下标准：
— 研究必须讨论用于在线恶意目的的“即服务”模式（例如，专注于将 ML 即服务用于合法目的的研究将被排除）。
— 对于学术文献，摘要必须提及用于恶意目的的服务的“即服务”模式（例如，一篇讨论“RaaS”的论文将被纳入，而一篇讨论用于杂货配送的“无人机即服务”的摘要则不会被纳入）。
— 由于灰色文献中的大多数文章由超过 50 页的长篇报告组成，摘要不是每篇文章包含内容的良好指标。与其他范围界定综述（如 [46, 47]）一样，这些文章经过全文筛选，并搜索关键词“as a Service”以确定文章是否应被纳入。
— 论文必须提及“即服务”模式或类似术语（例如，for hire）超过一次，摘要除外。这是为了消除仅在文中提及该模式的论文。
— 文章必须发表在 2017 年 1 月至我们搜索日期（2024 年 12 月）之间。选择 2017 年是因为它代表了 CaaS 及其研究的转折点，Hansa 和 Alphabay 等大型市场的取缔提供了大量关于网络犯罪生态系统及其运作的洞察 [48]。

此外，2016 年底，Mirai 僵尸网络代码被公开发布，这与市场上僵尸网络及相关“恶意软件即服务”产品的增加有关 [49]。此外，研究问题（RQ）是关于 CaaS 生态系统的近期趋势。因此，我们认为这里包含的 8 年研究确保了审查捕捉到了当代趋势而非历史趋势。—文章必须可用英文获取。

一些文章讨论了可能被滥用的“即服务”技术。例如，一些研究讨论了双重用途技术服务，如“无人机即服务”或“机器学习即服务”。在这种情况下，只有当相关论文的作者明确讨论了服务的恶意使用时，论文才会被纳入。

3.4 研究的选择

完成搜索后，识别出的引文被导入 Rayyan3，这是一种用于系统分析的管理工具。首先，我们识别并删除了重复条目。接下来，300 篇随机选择的文章摘要由至少两名研究人员筛选，其中 50 篇由所有三人筛选，以确保纳入标准明确且能可靠应用。如果仅根据摘要无法确定是否纳入，我们则筛选全文。每篇文章由每位作者编码为“纳入”、“排除”或“也许”。当编码为“也许”时，所有三名审查员阅读摘要并讨论其是否纳入。为了量化评分者间信度，我们计算了患病率和偏差调整卡帕（PABAK）统计量。0.86 的分数表明研究人员之间具有高度一致性。

随后，所有标题和摘要由主要审查员筛选。然后，文章根据其全文进行筛选。

3.5 数据提取与管理

不同的研究使用不同的方法来研究 CaaS。正如其他地方所讨论的（例如，[47]），在回顾文献时，明确分类产生的证据类型至少有两个原因很重要。首先，盘点使用的方法对研究人员了解文献中的空白很重要。其次，不同的方法有不同的优缺点。例如，一些方法使研究人员能够预测未来可能发生什么，这对预测新威胁很有用，但不能（例如）促进估计特定 CaaS 今天的使用率。其他方法可能有助于后者，但对前者提供的见解很少。

该项目的目的是探索已完成的研究程度。为了实现这一目标，纳入标准涵盖了不同重要程度与 CaaS 主题相关的文章。至少有两个重要维度：（1）采用的方法和分析的数据，这会影响证据的质量；以及（2）研究关注 CaaS 的程度，例如它是主要的调查重点还是边缘兴趣。图 3 可视化了这一内容，并为涉及明确方法的研究确定了四个证据类别（I-IV）。这四个类别在表 2 中定义，连同第五个类别，该类别保留给那些不包含明确方法以方便他人复制的研究。

图 3. 证据分类（针对具有明确方法的研究）。

表 2. 证据类型描述

标签：量化分析即服务攻击（I）
描述：论文使用（主要或次要）量化数据来调查 CaaS 操作。例如，一篇论文深入分析 Conti 勒索软件分支并逆向工程这一已知 RaaS 操作的技术元素。

标签：定性分析即服务攻击（II）
描述：论文定性分析与 CaaS 模型相关的现实数据。这种证据类型包括现实和主题分析、系统文献综述（SLR）以及数学和经济领域的理论论文。SLR 被包含在此类别中，因为它们采用可复制的方法，拥有使用主题分析的数据样本，因此与定性类别更一致，而不是（推测性的临时）文献综述。例如，一项包含五个 CaaS 案例的病例研究，其中方法论方法是使用警方文件、正式和非正式访谈以及法庭记录的探索性主题分析。

标签：可以以即服务模式提供的攻击的量化研究（III）
描述：论文量化分析网络犯罪操作，即不限于 CaaS 模型。论文简要讨论网络犯罪活动及其作为 CaaS 生态系统一部分的意义。此类发现是相关的，但 CaaS 不是论文的主要主题。示例论文包括那些对勒索软件检测算法进行比较分析的论文，其中一些是作为 RaaS 模型的一部分分发的。

标签：可以以即服务模式提供的攻击的定性研究（IV）
描述：论文定性分析网络犯罪操作，数据点可能不限于 CaaS 模型。论文简要讨论网络犯罪活动及其作为 CaaS 生态系统一部分的意义。此类发现是相关的，但 CaaS 不是论文的主要主题。一个例子是一篇对新闻中最近的勒索软件案例进行主题分析的论文。在此类论文中，大部分发现集中在勒索软件的传播和受害者上，虽然讨论了 RaaS，但这只是简要的（例如，这可能限于一句话）。

标签：文献综述（V）
描述：此类研究包括临时文献综述（非 SLR）和论文。此类研究中没有分析主要数据。数据可能由相关案例研究支持；然而，这些只是简要概述。
证据分类描述

3.6 数据分析：内容分析

文章筛选完成后，开始全文分析。采用的分析策略是内容分析，这是一种用于识别、分析和解释定性数据中意义模式的广泛使用方法 [50]。特别是，我们使用了演绎（或定向）定性内容分析方法，当调查受现有文献、理论框架或既定概念模型启发时使用 [51-53]。它涉及系统地编码数据，然后将这些代码分类为与 RQ 相关的代表重要概念的更广泛主题。我们使用了源自 RQ 并通过前 20 篇论文试用的结构化分析矩阵，然后在剩余分析中保持固定，代表了清晰的自上而下的演绎逻辑。然而，如果特定的文本段落逃过这些预定的分类，内容分析允许研究人员采用归纳的次要过程，允许新类别直接从数据中出现 [51]。虽然这引入了归纳推理的元素，但它仍然从属于研究的主要演绎方向 [54]。本文的主题包括主题（论文的主要目标）、论文谈论的服务（识别论文关注的所有服务）、服务的特定背景（如果不广泛——论文关注什么环境——例如，商业安全、社交媒体……）、论文的方法（定性/定量/混合，使用的数据，以及使用的方法论方法）、证据分类（见表 2）、过去趋势（论文识别的主要历史 CaaS 趋势）、未来趋势（如果存在，作者讨论的 CaaS 预测——这可能是新兴受害者、技术、脆弱基础设施、促进者……）、影响（例如，这对社会、受害者、罪犯和响应意味着什么），以及任何额外评论（这可能是任何丰富主题讨论但不是 RQ 一部分的内容）。下面的结果代表了这种编码的综合。

4 结果

4.1 搜索结果摘要

初步搜索共产出 3,896 篇已发表文章进行资格筛选（见 PRISMA 图表，图 4）。删除重复项后，我们根据上述纳入标准筛选了 2,151 篇摘要。其中，386 篇文章被纳入全文筛选。在此阶段，又有 134 篇文章因不符合纳入标准而被排除，例如在全文中除了摘要外没有提及 CaaS。因此，报告的发现基于 215 篇文章，其中 103 篇是学术文章，112 篇是灰色文献文章。

图 4. 表示文章选择过程的 PRISMA 图表。

灰色文献文章主要是由各种组织发布的报告，最多的是由欧盟（44）及其各个研究机构发布，如欧洲议会研究服务局、欧盟庇护局、欧洲毒品和毒瘾监测中心以及欧洲经济社会委员会。部分灰色文献由国际组织发布，如世界经济论坛（3）、全球合作中心（1）和联合国（3）。一篇文章由非盟制作。其余部分由以下国家的智库或政府机构发布的报告组成：加拿大（3）、澳大利亚（3）、印度（12）、新加坡（1）、爱尔兰（1）、巴西（1）、瑞士（4）、瑞典（1）、英国（6）和美国（22）。如图 5 所示，学术和灰色文献的文章数量在前四年相对均匀分布，但从 2022 年和 2023 年开始增加。

图 5. 每年的文章数量。

4.2 文献中讨论的服务

第一个 RQ 关注文献中讨论的服务类型。表 3 和表 4 分别总结了学术和灰色文献中每篇文章讨论的服务。如果一篇论文详细讨论了多项服务，则据此计数。因此，表 3 和表 4 中显示的服务累计数量超过了我们样本中包含的论文数量。对于学术文献，论文还根据使用的方法类型和产生的证据类型进行分类（见表 2）。因此，文章根据是否专门关注纯粹的 CaaS 生态系统或服务（类别 I、II 和 V）或否（类别 III 和 IV），以及是否部署定量（I 和 III）、定性（II 和 IV）方法论或由文献综述组成（类别 V）进行拆分。灰色文献出版物没有报告使用的方法——全部以叙述性报告格式编写——因此这种细分是不必要的或不可能的。这在后面的小节中进行了更详细的讨论。

表 3. 服务简要描述

勒索软件
描述：一种恶意软件，锁定受害者的数据或对其系统的访问权限，直到受害者支付赎金。
证据分类：
I (量化，CaaS 焦点): [62, 63, 66, 67, 68, 61, 69, 70]
II (定性，CaaS 焦点): [64, 71, 15, 72, 73, 74, 75]
III (量化，非 CaaS 特定): [76, 77, 78, 79, 80, 81, 82, 83, 84, 85, 86, 70, 87, 88, 89, 90, 91, 92, 93]
IV (定性，非 CaaS 特定): [94, 95, 96, 14, 97, 98, 99]
数量（实证研究）: 41 (34)

一般的 CaaS
描述：论文讨论 CaaS 模型本身。
证据分类：
I (量化，CaaS 焦点): [38, 67, 100]
II (定性，CaaS 焦点): [31, 101, 72, 102]
III (量化，非 CaaS 特定): [103, 104, 105, 106]
IV (定性，非 CaaS 特定): [107, 108, 109, 110, 56, 111]
数量（实证研究）: 17 (11)

恶意软件
描述：恶意软件。
证据分类：
I (量化，CaaS 焦点): [112, 113, 66, 114, 115, 116]
II (定性，CaaS 焦点): [117, 102]
III (量化，非 CaaS 特定): [118, 119, 120, 121, 122]
IV (定性，非 CaaS 特定): [116]
V (文献综述): [123, 109, 56, 14, 97]
数量（实证研究）: 18 (13)

DDoS
描述：攻击者用流量淹没服务器，从而阻止用户访问其系统。也被称为“启动器”。
证据分类：
I (量化，CaaS 焦点): [124, 125, 113, 126, 127, 128, 129]
II (定性，CaaS 焦点): [72]
III (量化，非 CaaS 特定): [130, 131]
IV (定性，非 CaaS 特定): [109, 110, 132]
数量（实证研究）: 13 (10)

僵尸网络
描述：受恶意软件感染且处于攻击者控制下的计算机网络，可用于恶意目的。
证据分类：
I (量化，CaaS 焦点): [126, 66, 100]
III (量化，非 CaaS 特定): [133, 130]
IV (定性，非 CaaS 特定): [134, 109]
数量（实证研究）: 7 (5)

网络钓鱼
描述：一种社会工程学形式，骗子试图欺骗受害者透露其个人信息或安装恶意软件。
证据分类：
I (量化，CaaS 焦点): [65]
III (量化，非 CaaS 特定): [135, 136, 137]
IV (定性，非 CaaS 特定): [138, 110]
数量（实证研究）: 6 (4)

按安装付费、漏洞利用
描述：分发恶意软件的方法。这些服务的提供者分发其客户提供的恶意文件，并根据下载数量获得报酬。
证据分类：
I (量化，CaaS 焦点): [100, 115, 116]
II (定性，CaaS 焦点): [31]
IV (定性，非 CaaS 特定): [123, 110]
数量（实证研究）: 6 (4)

洗钱
描述：隐瞒资金的来源和去向。
证据分类：
I (量化，CaaS 焦点): [70]
II (定性，CaaS 焦点): [139, 102]
数量（实证研究）: 3 (3)

间谍软件
描述：一种旨在在用户不知情的情况下收集用户信息的恶意软件子类型。
证据分类：
IV (定性，非 CaaS 特定): [56, 14]
数量（实证研究）: 2 (0)

住宅代理
描述：提供商利用网络内的主机中继其客户的流量，试图避免服务器端的封锁和检测。

这些服务通常在地下商业世界中扮演重要角色，并进一步掩盖恶意行为者的踪迹 [140]。[140] [141] 2 (2) 窃取者：专门的商品化恶意软件，从受感染主机中收集凭据。[55] 1 (1) 混淆：隐藏文件恶意内容以逃避防病毒检测的服务 [104]。[104] 1 (1) 勒索：要求某人支付款项或其他利益，以换取不揭露对其有害的信息。[142] 1 (1) 宣传：模型“操纵”其输出以支持对手选择的情感或观点，从而创建偏见言论。[143] 1 (1) 退款欺诈：“地下论坛中的诈骗服务，通过系统性地滥用在线零售商的退货政策（通过社会工程）和利用公司协议中的漏洞来欺诈零售商” [144]。[144] 1 (1) 黑客攻击：通过利用计算机或网络系统中的漏洞来获取个人或组织数据的未授权访问权限。 [41, 102, 145] [108, 111] 5 (3) 冒充、身份盗窃：攻击者通过窃取和使用用户个人资料凭据及其他元数据来绕过身份验证系统，假装成其他人。[146] 1 (1) 列 301535121 的唯一文章数量。学术文献中报告的服务及其证据分类。不同的服务（例如，按安装付费和漏洞利用）已被一起分析，或者作者在前作中互换使用术语。论文计数包含在最后一列中，括号内为实证研究（非文献综述）的数量。
表 4。服务 论文 计数
一般意义上的 CaaS [147, 148, 149, 150, 151, 152, 153, 154, 155, 156, 157, 158, 159, 160, 161, 162, 163, 164, 165, 166, 167, 168, 169, 170, 171, 172, 173, 174, 175, 176, 177, 178, 179, 180, 181, 182, 183, 184, 185, 186, 187, 29, 188, 189, 190, 191, 57, 192, 193, 194, 195, 196, 197, 198, 199, 200, 201, 202, 203, 185, 204, 205, 60, 206] 64
勒索软件 [149, 158, 207, 208, 209, 210, 211, 212, 213, 214, 215, 216, 217, 218, 219, 220, 221, 222, 170, 223, 177, 182, 183, 224, 225, 185, 186, 29, 189, 191, 226, 194, 197, 199, 200, 208, 227, 185, 216, 204, 228, 229, 205, 230, 231, 232, 233, 234, 214, 58, 59, 206] 53
恶意软件 [154, 156, 214, 235, 167, 236, 225, 29, 189, 191, 237, 238, 194, 198, 214, 239, 58, 59, 240] 19
洗钱 [152, 163, 241, 225, 189, 190, 191, 196, 203, 60] 10
DDoS [149, 213, 177, 181, 184, 236, 186, 191, 198] 9
黑客攻击 [242, 185, 232, 197, 208, 185, 58, 59] 8
钓鱼 [29, 189, 190, 191, 198, 205, 233] 7
欺诈 [163, 181, 192, 196] 4
僵尸网络 [177, 182, 198] 3
访问权限 [29, 205, 206] 3
冒充、身份盗窃 [151, 191] 2
按安装付费、漏洞利用 [182, 240] 2
盗版 [195, 201] 2
注入攻击 [193] 1
欺骗 [192] 1
虚假报警 [184] 1
人肉搜索 [184] 1
混淆 [190] 1
嗅探器和盗刷器 [191] 1
大规模监控、间谍软件 [237] 1
被盗数据 [206] 1
网络赋能犯罪（例如，伪造文件） [188, 167, 243, 168] 4
灰色文献中报告的服务
4.2.1 学术文献中讨论的服务。
如表 3 所示，在学术文献中，讨论最多的服务是勒索软件，出现在 40% 的学术论文中。第二个最常见的主题是关于一般意义上的 CaaS 的介绍（在大约 20% 的论文中讨论），论文作者要么介绍 CaaS 模型及其影响作为引入其他服务的铺垫，要么深入研究所模型及其生态系统本身。总的来说，文献中研究的绝大多数犯罪是网络依赖型的。例如，许多论文研究了既定的网络犯罪攻击，如恶意软件（在这些情况下，恶意软件不包含勒索软件，即没有要求赎金）、僵尸网络和 DDoS 攻击，较少数的论文提出了一些更现代的攻击向量，如退款欺诈和宣传即服务。诸如钓鱼、住宅代理、按安装付费、洗钱和混淆即服务等服务很有趣，因为它们可以单独使用，但也经常与其他恶意活动结合使用。例如，个人可能希望使用自己的勒索软件攻击。然而，他们可能没有分发方式，并希望以更隐蔽的方式收取赎金。在这种情况下，他们可能会使用钓鱼即服务和洗钱即服务来实现这一目的。在恶意软件即服务本身及其许多子类的研究中也可以观察到类似的交叉。除了单独讨论的勒索软件外，窃取者 [55]、广告软件 [56] 和间谍软件 [14, 56] 都被单独讨论。此处研究的论文很少详细阐述各种 CaaS 术语之间的互联性，或文献及现实世界中服务的互联性和非标准化。
4.2.2 灰色文献中讨论的服务。
表 4 显示了灰色文献涵盖的主题。对于这些研究，正如讨论的那样，我们没有显示证据分类，因为论文没有方法论部分，因此无法分类。在该文献中，58% 的样本讨论了一般意义上的 CaaS。这要么是为了仅仅解释 CaaS 模型作为恶意行为者运作的一种方式，要么是为了在详细讨论特定服务（例如，钓鱼、洗钱和恶意软件）之前介绍什么是 CaaS。第二个讨论最多的服务是勒索软件（47% 的论文），其次是一般意义上的恶意软件。与学术文献一样，许多文章讨论了更“传统”的网络犯罪攻击向量，如 DDoS、僵尸网络、钓鱼和欺诈即服务。然而，也讨论了更新颖的服务，如人工智能（AI） [29]、虚假报警、人肉搜索和大规模监控即服务，这些在学术文献中未进行讨论。人工智能即服务特别被讨论为用于创建深度伪造和类似应用。
特别是，在灰色文献中发现但学术文献中未包含的服务包括以下：欺诈（个人或人群不诚实且故意欺骗受害者以获取财产或金钱的个人利益，或导致他人损失或损失风险），访问权限（专门获取目标系统访问权限的服务），盗版（未经授权复制、分发或使用数字内容），注入攻击（恶意代码被插入系统以操纵其操作或访问未授权数据），欺骗（欺诈者伪造来电 ID 以获得受害者信任的技术），虚假报警（拨打虚假电话给紧急服务并让执法部门不必要地前往某人家中），人肉搜索（未经同意在线发布某人的个人和可识别信息），嗅探器和盗刷器（嗅探器是捕获网络流量以拦截数据的工具，而盗刷器是在交易过程中窃取支付卡信息的设备），大规模监控/间谍软件（在未知情或同意的情况下收集用户数据的恶意软件），以及网络赋能犯罪（移民走私、伪造文件）。
如论文文献部分所述，更大的 CaaS 生态系统包含许多子部分。认识到这一点，诸如防弹托管提供商服务 [57] 和代理服务 [58, 59] 被提及为灰色文献中生态系统的促进者。此外，促成其他犯罪的行为如混淆、身份盗窃、访问权限、黑客攻击、嗅探器、盗刷器和洗钱即服务也在灰色文献中进行了讨论。后者通常在有组织犯罪集团（OCGs）和其他更大的恶意团体（如黑客行动主义者）的背景下进行讨论。此外，灰色文献中出现的话题包括移民走私、伪造文件和暴力行为等网络赋能犯罪。虽然这些犯罪主要发生在物理领域，但它们也有网络领域 [60]。例如，有 CaaS 服务用于创建假证件（包括在线和实体护照），有涉及移民走私情报共享服务的平台，以及广告宣传实体暴力服务的平台，包括谋杀即服务。
4.3 文献研究 CaaS 所使用的方法
本文评估的第二个研究问题涉及作者在其研究中采用的方法学方法。如前所述，灰色文献样本由官方报告组成，所有这些都基于作者的解释呈现了临时的文献综述。在某些情况下，论文作者会使用其组织收集的数据或案例研究来说明他们的结论；然而，这些报告不包含方法论部分，无法实现其复制或对所用数据或方法的充分性进行客观评估。因此，这种文献更具叙述性和主观性，方法论细节的缺乏使我们无法进一步分类证据。
如表 3 所示，学术论文采用了多种方法学方法。除了所用一般方法的多样性外，每个证据类别内部也有相当大的差异。仅考虑第一类，定量分析包括使用入侵检测数据集的深度学习模型来检测 RaaS 攻击 [61]，通过分析泄露的 Conti 勒索软件源代码 [62] 或反汇编软件分析二进制代码 [63, 64] 对真实世界攻击进行逆向工程，甚至作者开发自己的勒索软件和钓鱼操作示例作为概念验证 [65, 66]。当然，论文中采用的方法论受到论文主要主题的影响。
为了说明，考虑图 6，它显示了一个桑基图——一种用于定量可视化材料或主题通过网络和过程流动的图表，同时展示它们的关系和它们的转换 [244]。这是通过表示有向加权图来完成的，其中的节点，在我们的情况下，代表灰色文献和学术文献之间的划分、方法分组以及给定论文的主要主题。可以看出，论文考虑了各种 RaaS 主题——包括国家和 OCG 行动者使用 RaaS、对 RaaS 生态系统的深入探讨以及通过各种方法检测 RaaS。
图 6。展示论文中使用的方法和论文主要焦点的桑基图。
图 6 显示，研究的重点（图 6 的最后一列）因文献类型（学术 vs 灰色）而异，Fisher-Freeman-Halton 检验（通过具有 100,000 次迭代的蒙特卡洛模拟）4 证实（p<0.0001）这种关联在统计学上是显著的。也就是说，除了作为罕见主题重叠点的 RaaS 生态系统外，这两个来源实际上解决了不同的问题。学术文献倾向于关注攻击的技术“如何”，而灰色文献倾向于关注解释商业模式的“谁”和“为什么”（灰色）。在灰色文献中，对 RaaS（以及一般意义上的 CaaS）的讨论大多局限于将其讨论为一种新兴威胁和对执法的挑战，包括讨论（例如）像 Colonial Pipeline 这样更大的 RaaS 攻击及其后果。
许多学术论文采用定量分析（第一类和第三类研究），通常是实验方法论，来评估旨在防范勒索软件的保护检测系统（见图 6）。相当常见的是，这将涉及随机化和变量操纵、机器学习方法的使用，并在模拟环境中完成。一些研究专门关注 RaaS 样本；然而，大多数评估的是混合的勒索软件样本，仅在论文的引言或讨论中引入威胁的“即服务”维度。此外，一些主要主题是相互关联的。例如，使用定量方法论逆向工程 RaaS 攻击既可以告知检测系统的开发，也有助于更好地理解 RaaS 生态系统模型。
与灰色文献中采用的纯粹叙述方法相比，定性方法和临时文献综述在学术文献中使用得较少。然而，当使用这些方法时，这主要是为了研究 RaaS 生态系统，这是灰色和学术文献中最常讨论的话题。虽然差异明显，但为了完整性，我们进行了 Fisher-Freeman-Halton 检验（p<0.0001），证实了学术和灰色文献中使用了不同的方法。
发现使用的方法也与论文的重点相关，Fisher-Freeman-Halton 检验证实这种相关性在统计学上是显著的（p<0.0001）。也就是说，虽然用于研究 RaaS 生态系统和检测方法（在学术文献中）的方法存在一定差异，但对于许多主题（例如，攻击的逆向工程），往往有一种首选方法。
所审查的文献使用了多种数据，这可以大致分为主要数据，其中研究人员从“野生”环境中收集自己的数据，以及次要的、预先存在的数据源。

相当一部分研究（约占三分之二，不包括文献综述）通过主动实验、沙箱执行、网络爬虫和控制网络操作来构建数据集。这些主要数据源包括动态行为轨迹，如 API 调用、注册表修改、文件系统更改以及硬件性能计数器统计，通常在沙箱环境中捕获。静态分析也很普遍，特别是在第三类中，研究人员检查可移植可执行文件（Portable Executable files）等属性，以提取操作码直方图（用于分析程序行为）、元数据、熵值等。网络流量数据构成了另一个重要类别，几项研究分析了数据包捕获文件，以提取会话级特征，如 IP 地址、端口号和字节数。一些作者使用高交互网络爬虫在较长时期内监控恶意软件下载 URL，以评估站点活跃度和寿命。还使用受控攻击来生成流量日志，包括购买 DDoS 服务攻击测试服务器，或创建合成受害者账户以检查雇佣黑客行为。此外，研究人员从 Hackforums.net 等在线论坛收集数据，或捕获按安装付费服务的私人聊天日志。

相比之下，一些研究主要依赖二手数据源，包括公共存储库、泄露材料、行业报告和 prior 学术文献。对于第三类研究，恶意软件样本通常从 VirusShare 和 RISS 开源集合等平台获取，而动态日志则来自外部沙箱服务。一些作者分析了泄露的源代码和内部通信，如 Conti 勒索软件二进制文件和聊天日志，以了解运营策略和开发实践。勒索软件跟踪器等网络数据集被用于入侵检测和流量分析。对于采用定性方法（第二和第四类）的论文，分析的数据范围从警察报告、网络犯罪论坛的网络民族志观察到行业出版物的见解。

几种理论和概念框架被用于指导研究。由于 CaaS 本身是一个社会技术问题，所审查的学术文献源于不同领域，通常将传统犯罪学理论与经济学和计算机科学视角相结合。尽管如此，研究人员普遍采用了多种理论和概念框架。首先，设计科学研究范式被频繁用于构建和评估分类模型和数据分析系统等人工制品，特别是在更定量的论文中。另一方面，日常活动理论 [245] 作为从犯罪学视角解释 CaaS 生态系统的基础视角。几项研究还结合了理性选择 [246] 视角来模拟攻击者和受害者的决策过程，特别是在勒索要求和支付行为方面。CaaS 商业模式是将网络犯罪概念化为结构化经济的核心，专业化通过类比资本主义劳动分工和创业理论来解释，强调了附属机构的疏离和市场进入壁垒。法律和经济分析引用了机会理论 [247]、社会网络理论 [248] 和联合委员会理论，以解释罪犯如何获得专业知识并形成协作网络。行为检测和检测导向的研究依赖各种攻击阶段分类法和多级敲诈模型来构建其发现，无论是威胁分类还是各种无监督异常检测。

### 4.4 未来趋势

最后一个研究问题涉及 CaaS 模型未来可能如何发展。系统文献综述（SLR）中包含的 53% 的文章在某种程度上讨论了未来趋势，因此以下部分仅基于这些文章。为了检查哪些趋势与每个给定的 CaaS 服务及其来源相关，创建了一个桑基图（图 7）。该图表首先将已识别出任何未来趋势的文献分为学术文献和灰色文献，然后进一步分为表 5 中进一步描述的预测未来趋势以及这些趋势适用的服务。

图 7.预测的不同 CaaS 服务的未来趋势。

**表 5. 文献中讨论的未来趋势**

| 未来趋势 | 描述 | 来源 | 论文 | 数量 |
| :--- | :--- | :--- | :--- | :--- |
| **商业模式的增長** | 预测 CaaS 模型在提供的服务数量上将增长，并进一步商业化，向合法商业模式发展。 | 学术 | [139, 70, 107, 81, 101, 38, 110, 123, 95, 120, 124, 249, 109, 118, 126, 144, 66, 125, 83, 100, 141, 134, 31, 72, 15, 140, 146, 90, 14, 108, 200, 96, 97, 98] | 34 |
| | | 灰色文献 | [176, 189, 148, 191, 162, 208, 176, 152, 225, 29, 175, 219, 241, 147, 151, 186, 223, 172, 188, 149, 216, 183, 212, 224, 187, 185, 234, 60, 204, 201, 192, 185, 59, 227, 205, 206] | 36 |
| **OCGs 越来越多地使用 CaaS** | OCGs 越来越多地使用 CaaS 赋能的服务。这可能涵盖欺诈、洗钱和身份盗窃等网络使能活动，直到网络犯罪攻击。 | 学术 | [101, 249, 72] | 3 |
| | | 灰色文献 | [243, 165, 250, 179, 161, 153, 148, 163, 162, 152, 151, 172, 187, 196] | 14 |
| **CaaS 越来越多地被国家和非国家行为者使用。目标 CNI** | CaaS 产品可能用于网络战、网络恐怖主义和网络间谍活动的背景下。这些群体可能针对关键国家基础设施（CNI）。 | 学术 | [100, 134, 14, 97] | 4 |
| | | 灰色文献 | [179, 170, 161, 236, 175, 147, 242, 149, 234, 200, 59, 229, 239, 232, 208] | 15 |
| **滥用/针对新兴技术** | CaaS 模型下的服务可能针对物联网设备、云设备、CAVs 等。 | 学术 | [95, 120, 124, 109, 84, 126, 125, 141, 140, 96, 131, 98, 97] | 13 |
| | | 灰色文献 | [176, 237, 242, 173, 59] | 5 |
| **更复杂的混淆技术** | 杀毒程序和端点检测和响应等技术已经难以检测恶意软件。由于竞争更加激烈以及更多专门从事混淆的服务，这种情况可能会增加。 | 学术 | [62, 63, 118, 83, 141, 146, 70] | 7 |
| | | 灰色文献 | [210, 189, 29, 185, 206] | 5 |
| **提供的服务中 AI 和 ML 的使用增加** | 使用 AI 和 ML，既作为恶意、独立服务（如深度伪造），也与其他服务交织以提高运营效率。 | 学术 | [251, 63, 120, 143, 64, 108] | 6 |
| | | 灰色文献 | [207, 237, 29, 216, 173, 216, 192, 58, 193, 59, 206] | 11 |
| **转向社交媒体** | CaaS 模型从暗网论坛转向社交媒体平台。 | 灰色文献 | [208, 206] | 2 |
| **隐私面临风险** | 越来越多的 CaaS 服务以不受监管的方式在线收集个人信息，这可能会引起隐私担忧。 | 学术 | [251] | 1 |
| | | 灰色文献 | [237] | 1 |

表 5 提供了学术和灰色文献中识别出的未来趋势总结。根据文献，随着犯罪分子和敌对实体之间的合作随时间演变，CaaS 将在未来网络犯罪中发挥突出作用。研究达成的共识是，CaaS 生态系统将在未来几年内扩展，无论是在生态系统本身还是提供的服务范围方面，因为更多犯罪类型转向基于服务的模式以优化运营和最大化利润。此外，一些运营 CaaS 模式的犯罪分子已经将他们的活动视为全职工作 [55]，SLR 中审查的大多数研究预测 CaaS 将继续增长，变得更加复杂和具有商业可行性。这种更正式和企业的结构可能会随着订阅的增加和产品的许可而巩固，并在生态系统中增加更具体的角色，如入侵专家、访问经纪人和营销策略师。这一点在一篇查看大型 RaaS 操作聊天日志的论文中得到了特别讨论。在本文中，作者强调了操作内部非技术谈话的重要性，以及对管理/业务导向角色和讨论的关注 [200]。在此基础上，未来，例如，更多勒索软件操作可能继续以 RaaS 形式运营，特别是随着访问经纪等角色的进一步专业化以及可能的 RaaS 合作伙伴合并 [227]。同样，在线欺诈市场正在增长，许多“即服务”组件作为便利者和使能者提供，从而增加了犯罪操作的影响 [192]。进一步的商业化和向更复杂商业模式的转变可能导致运营商引入新工具，显著降低经验/技术较少的网络罪犯的进入门槛，因此扩大其影响力。随着模型的扩展，CaaS 可能涵盖网络、物理和网络物理领域更多的非法活动。一些作者 [13, 31, 249] 建议，因此，市场可能变得饱和，这将导致服务价格下降，反过来，这可能意味着只有最有韧性的企业提供优质产品才能留下来。由于这种商业竞争，预计攻击将发展得更快、更隐蔽，以提供更好的服务，使行为者能够保持竞争优势 [90, 96]。

本综述中包含的 17 篇文章将 CaaS 呈现为有组织犯罪集团（OCGs）使用的新兴工具之一。这涉及利用洗钱和（身份）欺诈即服务等 CaaS 服务，此外，尽管罪犯缺乏此类专业知识，但可能通过参与在线犯罪活动发现新的收入渠道 [192]。特别是洗钱，与网络和现实世界中的几乎所有犯罪活动都紧密相连，并由高度专业化的犯罪集团作为服务提供 [196]。文献还指出 CaaS 生态系统中隐私中心加密货币的使用正在演变。据注意，团体正在从比特币转向门罗币、波场和泰达币，以避免在筹资、洗钱和购买 CaaS 工具期间的加密货币追踪 [206]。CaaS 提供商也越来越使用跨平台、跨链桥梁和货币兑换服务在区块链之间转移资金。这使追踪复杂化并进一步增强匿名性 [206]。

同样，国家和非国家行为者以及极端组织等大型组织被确定为越来越普遍地成为 CaaS 生态系统的客户 [239]。CaaS 产品可能用于网络战、网络恐怖主义和网络间谍活动的背景下 [14, 200, 208]。随着黑客行动主义者和极端分子越来越多地使用 CaaS 工具进行政治或社会破坏，以经济为动机和以意识形态为动机的行为者之间的界限正在模糊 [206]。资料来源表明网络犯罪和网络战争之间的交叉正在增加 [229]。特别是，这些群体可能针对 CNI 设施，这将是灾难性的后果。将物理攻击与网络攻击结合起来创建混合攻击可能会成倍放大造成的损害 [59]。预测未来处于风险中的 CNI 可能包括电网系统（例如见 [239]）、石油和天然气 [216, 231]、金融部门 [96] 甚至医院 [232]。所有这些都有不同的网络能力，这意味着很难实施 overarching 网络安全标准以确保安全运营。此外，CNI 设施有许多合作伙伴组织和互联系统，这些可能呈现漏洞，可能导致大量金钱损失甚至生命损失。在这些情况下提到的服务通常是勒索软件和其他形式的恶意软件即服务、DDoS、黑客和僵尸网络即服务。这些可用于为组织筹集资金支持、网络攻击或混合攻击。

与网络安全领域的所有威胁一样，恶意行为者和安全提供商之间的军备竞赛不断推动创新的界限。随着新技术不断上线，攻击面也在不断增加。这包括越来越多地针对新兴技术，如联网或物联网（IoT）设备、云服务、互联和自动驾驶汽车（CAVs）以及加密货币，仅举几例。在文献中，作者指出，这些技术不仅将成为新目标，而且一些 CaaS 服务可能依赖它们才能成功。例子包括将加密货币用于利润交易和在更大僵尸网络结构中使用物联网设备 [59]。这反过来放大了攻击并创造了更有利可图的网络犯罪基础设施，在本例中是僵尸网络基础设施。许多论文表明，云将在未来几年成为主要目标。通过瞄准云等环境，恶意行为者可能实现更大的供应链妥协，甚至操纵股票市场 [96, 98]。在针对新兴技术方面，具体讨论的服务是住宅代理、DDoS、僵尸网络和勒索软件。然而，可以安全地假设模型中的任何服务都可能试图利用新兴技术。

还预测 CaaS 模型将改进网络罪犯使用的混淆策略，以通过简单地拥有更多生态角色，专注于更好的混淆，但也增加智能和自我进化服务的使用，使其服务更隐蔽和更难检测。

这些可能继续利用多因素认证和网络安全产品，如端点检测和响应技术 [185]。这可以通过在服务中融入一定级别的人工智能来实现，从而逃避大多数静态和动态检测尝试。复杂的混淆也可以通过增加向系统投递恶意软件的创意来实现，例如将包含一系列 PowerShell 命令的恶意文本文件嵌入到数字图像中，这些命令可自动执行任务并管理系统配置 [118]。网络犯罪生态系统中涉及增加混淆的另一个方面是支付要求，恶意行为者在索要赎金时正在使用更多注重隐私保护的加密货币（例如门罗币） [70]。文献中预测的最后一个较大趋势是指在服务本身中越来越多地使用人工智能和机器学习，这不仅用于混淆目的，还用于促进和改进攻击并最大化获利机会。这方面的例子很多，包括深度伪造的创建。人工智能驱动的预测语言工具和聊天机器人使得网络犯罪分子更容易开发高级形式的勒索软件，甚至创建独立的网络爬虫来收集个人数据，随后这些数据会在生态系统中被进一步使用。预测显示，恶意软件和勒索即服务（RaaS）都将包含更多的人工智能和机器学习能力，并增加操作中的隐蔽性。(gen) AI 的使用既可能引入新的攻击向量，又能减轻运营网络犯罪行动的管理负担 [59]。在欺诈和虚假信息即服务方面，作者预测 (gen) AI 也将发挥重要作用，因为诸如深度伪造等技术可能很容易在市场上获得 [193]。

考虑到预测的趋势（图 7 的中间列）和所审查文献的类型（学术 vs 灰色），一个 2 × 6 的费舍尔 - 弗里曼 - 哈尔顿检验确认两者之间存在统计学上的显著关联（p<0.005）。事后分析（p<0.001）显示，在涉及行为者的关注重点方面（这是灰色文献而非学术文献的关注点，p<0.001）以及在技术演变方面（如新兴技术和混淆技术，这是学术文献而非灰色文献的关注点，p<0.001）观察到特定差异。

5 讨论

CaaS 并非新现象。自 2014 年以来，它在欧洲刑警组织每年发布的《互联网有组织犯罪威胁评估》中一直占据重要地位。然而，据我们所知，这是该主题的首次系统文献综述（SLR）。审查的主要观察结果之一（这不是最初的研究问题 RQ）是，CaaS 通常被作为其他网络威胁的附属品来讨论，而不是所分析文献的核心焦点。在灰色文献中，我们在审查的每一份报告中都观察到了它。在这些报告中，作者主要关注威胁行为者参与多种不同类型的网络犯罪、他们的运作方式以及 CaaS 对所考虑的不同类型犯罪的影响。相对于学术文献，灰色文献往往范围更广，但对 CaaS 的讨论程度有限。在学术文献中，有一部分工作优先考虑对 CaaS 模型及其生态系统的调查（主要在证据分类 I、II 和部分 V 中的工作）；然而，最大的一组（分类 III）关注的是非常狭窄且通常是技术性的问题，例如检测特定类型的恶意软件。在这样的论文中，CaaS 仅被提及为该威胁的潜在促进因素，而不是研究的中心方面。鉴于 CaaS 的潜在影响，发现它很少成为已发表工作的焦点，这一总体发现有些出乎意料。

本文的第一个研究目标是研究哪些服务一直是已发表研究的焦点。除了广泛讨论 CaaS 模型及其生态系统的论文外，审查中最常见的服务是勒索软件、恶意软件和分布式拒绝服务（DDoS）。紧随其后的是促进其他恶意活动的非法服务，如僵尸网络、网络钓鱼和洗钱即服务。一些较新的攻击向量包括特许权滥用、间谍软件和窃取者即服务。

关于所研究服务的另一个重要发现是 CaaS 服务的模块性以及文献中展示的服务之间缺乏标准化。不同的作者对服务之间的界限划分，或特定服务的定义各不相同。换句话说，对于作者描述的服务范围及其与其他服务的相互联系，缺乏清晰度。例如，当作者讨论僵尸网络即服务时，他们通常不解释恶意软件如何感染机器成为僵尸网络的一部分（这可能是网络钓鱼即服务活动的一部分，由恶意软件即服务安装等），僵尸网络的命令与控制基础设施（这是一个单独的服务还是僵尸网络基础设施的一部分？），僵尸网络执行的操作（如 RaaS 或分布式拒绝服务即服务），或者非法收益如何流向恶意行为者（通常涉及洗钱即服务）。其他作者可能会将这些（或其中较少数量的）讨论为独立的服务，而不将它们联系在一起视为一个单一的问题空间。

建立具有更清晰定义的框架对于帮助执法部门、安全专业人员以及所有受 CaaS 影响的人分类、衡量犯罪并提出有效的响应和预防策略至关重要 [252]。此外，知道我们的衡量标准与其他研究一致，可确保测量的可靠性。这也有助于参与预防策略成本效益分析的决策者 [256]。当然，概念清晰性对学术界也很重要，跨科学领域的作者强调，科学进步依赖于建立共享的理论框架，该框架定义了一个学科的核心概念和研究议程 [253-255]。此外，虽然 CaaS 的概念在灰色文献和学术文献中都受到了关注，但其在解释网络犯罪生态系统演变和绩效方面的科学效用仍然未被充分探索和利用。该术语通常被描述性地用作促成特定网络犯罪趋势的因素，而不是在专注于生态系统本身及其广泛传播驱动力的分析性论文中使用。在进行更详细分析的地方，这些论文感觉与文献的其他部分相当脱节，从而限制了它们支持纵向或比较研究的能力。如果没有对什么是恶意的“服务”、它们如何提供，或服务如何在生态系统中及彼此之间交互的共享理解，就很难评估网络犯罪行动如何随时间扩展、适应或专门化。这种概念清晰性的缺乏也阻碍了衡量犯罪分子网络中效率、韧性和创新的努力。识别出的另一个研究差距是映射 CaaS 运营商和服务提供商使用的当前和未来使能技术。这应该使用更健壮的理论框架来完成，定义服务边界、行为者角色和生态系统动态，以增强对 CaaS 生态系统的理解。

增加标准化的一种潜在方法是使用基于网络杀伤链（Cyber Kill Chain） [256] 的框架来理解 CaaS 及其各种模块化服务。网络杀伤链是由洛克希德·马丁公司开发的广泛使用的框架，用于分析网络攻击的阶段并帮助组织增强防御。它由七个步骤组成，每个步骤代表攻击生命周期的一个阶段，从情报收集到数据泄露或系统妥协 [257]。自创建以来，网络杀伤链通过提供结构化的方法来更有效地检测和防止攻击，影响了网络安全实践 [74, 258, 259]。该框架很好地扩展到 CaaS，提供了从技术角度干预 CaaS 行为者的机会，同时也为必要的整体方法增加了另一种描述现象的方式。网络杀伤链不仅突出了技术对策，还识别了 CaaS 管道中的一系列阶段，这些阶段可以使用诸如犯罪脚本（crime scripts） [260] 等技术进行分析，犯罪脚本用于犯罪学研究来描述罪犯为实施犯罪而采取的步骤。

基于定义的缺乏，由于 CaaS 对如此多的部门和利益相关者有影响，另一个问题是语言的标准化和“即服务”称谓的使用。例如，在一篇关于下一代有组织犯罪的灰色文献文章中 [261]，作者深入讨论了新兴趋势对有组织犯罪商业模式的影响，但没有一次使用“即服务”一词。因此，这篇文章没有包含在我们的研究中。同样，我们发现许多作者使用非特定表达，如“犯罪服务”、“网络犯罪集团”（例如见 [200]）或“在暗网上提供的网络犯罪服务”（例如见 [57]），这可能暗示犯罪服务是“即服务”提供的，但没有明确说明这一点。这使得很难使用如这里所用的搜索策略来定位潜在的相关研究。更广泛地考虑这个问题，可以说没有共享术语，有时甚至在同一领域的作者之间也是如此。虽然这可能是由于仍然年轻和不断发展的格局，但与缺乏共享词汇和分类法相关的挑战可能会阻碍进步。因此，未来的研究优先事项将是通过与来自不同学科的研究人员以及更广泛的利益相关者社区协商，就分类法达成共识。

我们纳入标准的一部分是研究必须关注那些出于恶意意图创建的服务。在筛选文章时，我们注意到文献可能错过了一些潜在威胁。例如，XaaS 模型下的大多数服务，如软件、基础设施和功能即服务都不是恶意的；然而，这并不意味着它们不能（且没有）被滥用。类似地，机器学习即服务近年来已广泛应用于许多应用，多篇论文讨论了相关漏洞，如数据投毒，恶意行为者注入虚假训练数据以破坏模型，使服务无用甚至恶意。这在网络安全背景下尤为重要，因为机器学习方法越来越多地用于安全即服务范式中，以识别给定系统中的潜在漏洞，以便网络安全团队可以修补它们。然而，没有什么能阻止威胁行为者使用类似工具来帮助开发和/或部署攻击。然而，由于从一开始就不是服务的意图，可以说它不属于 CaaS 类别，因此不会被本综述覆盖。

此外，两用技术也在本项目范围之外，但作者认为应该对此进行进一步调查，因为研究往往忽略了漏洞、滥用和安全方面。在筛选过程中，排除了许多文章，因为它们是从非恶意角度讨论无人机即服务技术的。被排除的论文例子讨论了协助搜索和救援任务，但它们未能提到那些技术也可以用作武器。

文献表明，我们应该预期将犯罪商品化的组织会发展出更专业的服务环境。因此，从由较少犯罪分子运营的单点网络犯罪提供商（具有单点故障）转变为更大的分工，具有更多的专门化、竞争力和韧性。这可能包括在生态系统中进一步纳入更多特定的角色，这些角色作为独立实体运作并相互合作，就像任何企业一样。关于参与 CaaS 的行为者，由于进入门槛降低和全球衰退在即，CaaS 可能为多个新的行为者提供一种新的“全职工作”模式，无论他们的技术能力如何 [185]。

Avgetidis 等人 [55] 对超过 4,500 名窃密软件运营者及其在 24 小时周期内的行为模式进行了昼夜分析，结果表明，运营者将窃密软件作为全职工作来运营，工作日工作时间内的活动较多，周末几乎无活动。此外，Ruellan 等人 [69] 的工作调查了 Conti 勒索软件团伙的内部通信。作者强调，Conti 勒索软件团伙通过专用渠道向其附属组织（“客户”）提供**客户支持**，这是其运营的关键方面。这种支持结构专业且组织良好，包括协助解决与勒索软件部署、支付处理和与受害者谈判策略相关的技术问题。结构化客户支持团队的存在反映了 Conti RaaS 运营的高级程度，其运作方式更像是一家合法企业，向其附属组织提供全面的服务，以确保攻击的顺利执行并实现利润最大化。遵循这一模式，随着业务的发展和财务增长，市场将扩大，攻击也将变得更加复杂，以保持竞争优势。随着我们的生活转向线上，城市以及关键国家基础设施（CNI）向更智能的网物理系统发展，如果得不到妥善保护，攻击这些系统可能会对公众产生更加重大的后果。

众多作者（例如，[14, 38, 70, 96, 107, 109, 110, 118, 126, 200, 262]）讨论了一个事实，即为了让 CaaS 作为商业模式增长，需要越来越多的广告和服务变得易于访问。因此，有人预测，分发和广告可能会从暗网论坛转向 Discord 和 Telegram 等更通用的平台。由于实际交易以及在采购服务后提供的客户支持通常发生在 Telegram、Discord、Wicker 和 Jabber [263, 264] 上的私人通信渠道中，广告和供应链的其余部分可能不久也会转移到这些平台。自 2018 年 AlphaBay 和 Hansa 等暗网市场被查封以来 [265]，这类平台已经成为犯罪分子之间日益受欢迎的沟通来源。原因有很多，包括通过端到端加密提供的隐私、此类渠道绕过市场费用，以及它们提供了更大且更容易访问的客户池（尤其是非技术客户，可以说是 CaaS 的目标受众）[206]。此外，大量的行政工作已经由社交媒体提供商处理，而不是由犯罪者运营自己的论坛 [7]。然而，为了继续运营并避免被封禁，使用这些平台的运营者和广告商当然必须逃避平台使用的非法内容检测算法。值得注意的是，该领域的许多专家已经警告了 CaaS 在 Signal 和 Telegram 等社交媒体上大规模存在的情况。然而，除了两篇灰色文献文章外，这并未在我们的文献样本中反映出来，这使得这成为一个需要解决的研究空白。

这种可访问性的增加可能会为更多恶意行为者成为 CaaS 的客户甚至自己提供服务打开大门。这可能包括有组织犯罪集团（OCG）和极端主义行为者。这些集团之前可能缺乏专业知识的活动外包，可能会改变他们的组织结构，使其更趋向于商业结构 [172, 187]。关于（非）国家行为者，CaaS 已经被用于网络战。例如，有多份报告称，CaaS 模型如勒索软件、恶意软件和 DDoS 即服务运营被用于俄乌冲突 [266, 267]。随着 CaaS 使用的增加，与攻击归属相关的问题也将增加 [186]。

5.1 局限性与未来工作

与任何研究一样，本综述也存在局限性。首先，灰色文献被包含在本范围综述的范围内；然而，所包含的文献主要由政府和政策文件组成。我们意识到行业内在这个主题上有一个活跃的研究社区，因此未来的研究应考虑分析贸易期刊、白皮书和行业报告中发布的趋势。我们排除行业报告的决定是双重的——据我们所知，没有系统的方法来收集行业报告，而且行业报告可能存在偏差，因为它们部分是为了商业目的而写的。

第二个局限性涉及不同学科在术语和方法方面缺乏标准化。由于本范围综述汲取了多个学科的发现，这很重要，作者在确定纳入标准时不得不做出许多选择。例如，我们必须决定在定义“网络赋能服务”时界限在哪里，以及如何区分一项服务是本质上恶意的还是仅仅有被滥用的潜力，这通常是一个灰色领域。此外，犯罪学和社会学等领域可能正在研究与在线网络犯罪市场及其在明网和暗网上演变相关的主题；然而，由于他们的术语可能不包括 CaaS 或“雇佣”，这些论文可能在我们的搜索中未被识别。未来的一个潜在方向是生成某种分类方法，以标准化不断变化的 CaaS 领域，扩大纳入标准以包括使用不同术语的学科的见解，从而确保对该问题进行进一步的系统评估。

5.2 启示

历史上，数字地下世界通常由技术经验较少的行为者组成，例如脚本小子。此类行为者在执行全面网络攻击方面构成的威胁较低。然而，随着 CaaS 的出现，这种情况不再成立 [2]。因此，欧洲刑警组织指出，CaaS 必须成为全球执法机构的首要任务 [2]。此外，CaaS 充当了网络犯罪许多方面的倍增器——诸如非法货币兑换、钱骡和防弹主机服务等，这些可能不是 CaaS 的直接目标，但对于经济的维持至关重要。这也可能对网络犯罪和城市掠夺性犯罪产生影响，例如，有组织犯罪成员可能利用这些服务扩大其运营或清洗前置犯罪的收益 [72, 249]。

由于生态系统日益复杂和商业化，社区需要以标准化的方式研究 CaaS 及其生态系统。一种方法是应用上述的网络杀伤链。然而，有人认为，应对 CaaS 生态系统最有效的方法是破坏使其成为可能的基础设施，因为这将解决网络犯罪活动的根源，而不仅仅是症状。CaaS 网络和赋能者严重依赖强大的服务器、网络、论坛、指挥和控制基础设施以及恶意软件基础设施，这些设施促进了从数据窃取、恶意软件部署到匿名通信的一切 [11]。通过拆解或妥协这些元素，例如通过关闭僵尸网络或查封服务器，当局可以在基础层面瘫痪网络犯罪运营，减少即时和长期威胁 [268]。这种方法还阻止了对支持这些活动的昂贵系统的再投资，促进了更可持续的网络安全路径。

由于涉及 CaaS 的行为者网络复杂，一些来源警告从业者不要将资源投入到攻击归属中，因为尝试这样做将变得越来越复杂 [270]。由于服务提供商（即网络攻击的原始创建者）离最终攻击越来越远，识别和消除原始来源成为一项重大挑战。这可能是拆解该服务的唯一可持续方式，但这并非不可能。该领域已有引人注目的逮捕案例，例如俄罗斯当局在 2020 年底突袭了最大的 RaaS 运营者之一 REvil。应美国官员的要求，他们逮捕了其中 14 名成员并停止了其运营 [30]。最近，在 2024 年 5 月，终局行动（Operation Endgame）破坏了僵尸网络和投放器恶意软件生态系统中的服务 [271]。这产生了更持久的影响，因为投放器恶意软件被用于跨多种服务交付。

6 结论

CaaS 是一个不断增长的经济模式，技术熟练的行为者将工具包作为打包服务提供，收取费用，使经验较少的恶意行为者能够成功执行网络攻击。在这种模式下有许多恶意服务，它们继续扩展并越来越多地采取类似商业的结构，使生态系统具有韧性、可扩展性，并让更多行为者易于访问。因此，CaaS 正在降低网络犯罪的准入门槛；服务变得更加复杂，更难检测和移除。

本研究的目的是盘点文献中研究了哪些服务，这些研究采用了什么方法，存在什么空白，以及 CaaS 未来可能如何演变。为此，我们对文献进行了范围综述，最初包含 2,434 篇文章，收集自六个学术和两个灰色文献数据库，最终有 195 篇文章被纳入内容分析。

学术文献中研究了 15 项服务，灰色文献中研究了 19 项，我们可以看到 CaaS 研究是多样化的。应用了来自不同学科的多种方法论方法——从研究检测能力、反向工程 CaaS 攻击、风险评估、案例研究和响应分析，到多种叙述性文献综述，考察 CaaS 及其后果。通常，CaaS 不是项目的焦点，这可能解释了为什么存在如此多种术语和研究结果的分散。当缩小到专注于 CaaS 的论文时，定量论文的数量是定性论文的 2.5 倍。因此，研究社区应从方法论角度解决该主题的一些研究空白，包括对案例研究的系统分析、执法响应以及围绕 CaaS 生态系统的专家咨询。此外，只有少数研究调查了 CaaS 在其原始市场（暗网论坛或其他地方）的列表，因此进一步的研究工作也应解决此问题。市场场所分析可能已在多个领域（例如，犯罪学、人类学和社会学）进行，然而，如果这些领域的学者可能不通过 CaaS 的视角来框架化恶意交易和新兴的网络犯罪组织结构，这将造成整合这些文献的障碍。展望未来，只有通过开发一种整体、结构化的方法来收集跨学科见解，才能理解这一现象并开发出有效的预防方法。此外，综述中只包含了一篇经济学论文，从博弈论的角度看待 CaaS。随着 CaaS 变得越来越成为一种成熟的商业，将其作为此类对待并应用更多的经济理论，可能会帮助我们更好地理解和预测市场的变化。

CaaS 商业模式的进一步发展及其向更易于访问的平台（如社交媒体）的转移，可能会增加其客户数量。如果没有决策者采取进一步的研究和行动，该模型可能会被有组织犯罪集团、恐怖分子和更大的国家行为者越来越多地使用，他们的能力可能导致影响许多平民的大规模后果。从这项工作中可以明显看出，多利益相关方合作对于遏制 CaaS 可能对全球网络犯罪和物理犯罪产生的影响至关重要。必须做出进一步努力来了解 CaaS 的运营方面、其赋能者和底层基础设施，以开发可持续的反制措施。只有对该主题采取整体和系统的方法，才能允许社区了解 CaaS 威胁未来将如何发展，然后采取步骤破坏它。