调查时如何避免暴露身份：威胁建模、身份隔离与网络出口选择

在需要隐蔽调查目标（尽职调查、内幕调查、记者保护线人、执法在线工作）时，控制 IP/ASN、浏览器与 TLS 指纹、时间模式和登录账号等归因面，避免惊动目标。

适用场景

解决思路

1. 先做威胁建模：回答三个问题——谁可能注意到（休眠空壳公司、中等技术个人、犯罪团伙还是国家机构）？他们会看到什么（服务器日志一行、登录访问暴露姓名、互动暴露人设及历史）？后果是什么（无事、证据被毁账号消失、调查被归因到你的组织并曝光、还是你或线人面临人身风险）？
2. 按情境选择相称的防护姿态：查注册表/档案/CT 日志/法院记录用普通浏览器、无人设；查看目标公开网站用干净浏览器配置+商业 VPN、不登录；任何登录平台查看目标用人设账号+专用配置，并先确认平台的访客通知行为；目标运营被监控的基础设施或技术能力强时用专用 VM+非数据中心出口+不复用指纹+时间纪律；涉及有组织犯罪、骚扰风险或人身安全时再加上隔离硬件，并让一位同事知道你在做什么。
3. 避免过度工程：过度锁定的配置会被 CAPTCHA、限流和封禁，反而收集更少，且异常配置本身就是特征；在需要融入时就要融入。
4. 在想办法安全查看之前，先检查档案是否已有该内容（read-deleted-pages），快照不会告诉目标任何事。
5. 控制归因面：IP 和 ASN 暴露的是网络而非地址——数据中心 ASN 说明是 VPN 或爬虫，企业 ASN 暴露雇主名称（最糟且常见，因为人们忘了办公网络也是标识）。
6. 控制浏览器指纹：user-agent、窗口几何、字体、canvas 与 WebGL 渲染、硬件并发数、时区，通常唯一且跨会话和 IP 稳定，会把你的多次访问互相关联。
7. 控制 TLS 指纹：client hello（密码套件、扩展、顺序）独立于浏览器暴露的任何东西识别你的客户端；这就是为什么代理后面的工具与真实浏览器可被轻易区分——头部说是 Chrome 而握手不是。
8. 控制语言和区域：Accept-Language、时区偏移、单位；英语区域浏览器从第三国数据中心 IP 阅读区域语言网站很显眼。
9. 控制时间模式：只在一个国家的办公时间活动、在其假日有间隔、整点爆发；时间模式能穿透你施加的所有其他控制。
10. 控制链接预览：把目标 URL 粘贴到聊天、工单或文档会让该平台抓取它，抓取命中目标服务器并与你的其他活动关联；禁用预览或对 URL 做无害化处理。
11. 把登录账号当作最大风险：认证把匿名请求变成已识别请求，而泄漏是功能——资料查看通知和访客列表、故事和视频观看列表、基于通讯录和互动图谱的“你可能认识的人”推荐、已读回执、关注者和列表通知、共同联系人展示；有些仅加载页面就会触发。
12. 身份隔离必须绝对：研究身份和真实身份永不接触，一次交叉就永久关联且平台关联后不可逆。
13. 避免用真实手机号做短信验证：这是最强的跨平台标识，平台内部用它关联账号并驱动基于通讯录的推荐，一次验证就永久（包括追溯）把人设与你关联。
14. 避免用你自己的恢复邮箱，或用另一个人设的恢复邮箱（后者会把人设互相关联）。
15. 避免任何支付方式：任何卡、钱包或订阅，包括 VPN。
16. 避免复用密码：它会在未来数据泄漏中出现，并为任何购买转储的人聚类你的账号（见 what-leaked-about-you）。
17. 避免同步的浏览器配置：它会把历史、自动填充和保存的密码带入研究环境，个人 cookie 和会话会完成其余部分。
18. 避免头像可反向搜索回你或任何人（find-the-original-image）：裁剪的个人照片、朋友的照片和库存图片都会以不同原因失败；同时剥离上传元数据（secrets-in-file-metadata）。
19. 避免风格和习惯泄漏：独特措辞、反复出现的错别字、固定时间。
20. 避免授予应用通讯录访问权限：在曾存有你真实联系人的手机上授权，会把关联一切的图谱交给平台。
21. 仅在观察确实需要账号时才建立人设，并先阅读 ToS 部分；全新空账号既无用又显眼，看不到多少且看起来就是它本来的样子，会在你最需要时被封禁或挑战。
22. 人设需要可信的历史和年龄：在需要它的案件之前很久就创建，让它积累普通活动；维护一个小型稳定池而非每个调查一个。
23. 保持人设一致性：姓名、区域、语言、时区、发帖时间、兴趣和关系都彼此一致，并与平台人口统计一致；声称在某城市却在当地夜间发帖是矛盾，人类会立刻注意到。
24. 遵守人设硬限制：无论授权如何，人设只用于观察——不用于套取私人信息、诱导他人行动、或以你无权做出的虚假借口进入封闭系统或群组。
25. 选择网络出口：商业 VPN 适合对普通网站隐藏 ASN 和大致位置（常见默认），但不适合封锁数据中心范围的网站、或“明显 VPN”本身就是信号的情况，且要信任提供商。
26. 住宅/移动代理适合看起来像普通消费者连接、访问封锁数据中心的服 务，但成本高、可靠性不稳定且有严重的来源问题。
27. Tor 适合对网络观察者强匿名、访问 onion 服务，但不适合人设账号（出口节点是公开列表，会遇到封锁、CAPTCHA 和账号安全挑战），也不适合需要会话稳定性或地理合理性的场景。
28. 自己的 VPS 提供控制和稳定性，但它是可追溯到账单身份的数据中心 IP，通常比 VPN 更糟。
29. 注意 Tor 是最强工具但多数时候是错的：出口地址可公开枚举，被监控目标会看到“有人用 Tor 看了这个”，比普通访问更引人注意，且平台把 Tor 登录视为高风险，触发会杀死人设的验证挑战。
30. 警惕住宅代理：许多池由通过捆绑 SDK 注册的消费者设备组成，用户未真正同意，你的流量从陌生人家庭连接出口——对双方都是伦理问题且可能违法；了解提供商的池来源，否则不要用。
31. 验证所选出口：检查出口地址及其 ASN，确认 DNS 通过隧道解析，并封锁 WebRTC（它会独立于隧道暴露地址）。
32. 环境与隔离：一个案件一个环境，专用 VM 是干净答案，专用浏览器配置是最低要求；容器化标签隔离分离 cookie 但不分离指纹，是便利而非边界。
33. 跨环境规则：永不登录个人账号；快照干净并在案件间回滚；笔记和下载保存在案件的加密存储中；永不在能触及真实身份的环境中打开目标的文档或 PDF。
34. 隔离意味着案件 A 的人设永不用于案件 B：两个目标互相交流（同一生态的目标确实会）会从重叠重建你的行动；号码、邮箱、代理和头像同理。
35. 永不认证到任何属于目标的东西：不登录他们的门户、不连他们的 wifi、不用泄漏数据中找到的凭据登录、不用“忘记密码”流程确认账号存在；这是开源研究与未授权访问之间的界线，不会因为密码容易找到而移动。
36. 避免常见错误——登录失误：同事发来链接，你在普通浏览器点击，目标就拿到了你的名字；这是最常见的暴露，要对共享 URL 做无害化处理并让研究浏览器视觉上明显不同。
37. 避免常见错误——并非隐私的设置：匿名浏览模式阻止姓名到达目标，但平台仍拥有它，设置可能恢复，且某些通知不在覆盖范围内；它们减少暴露而非消除。
38. 避免常见错误——通讯录图谱推荐：你从未访问资料，但你们互相被推荐，因为你的设备或人设接触了其通讯录图谱中的号码或地址。
39. 避免常见错误——案件中途验证挑战：老化账号和稳定出口可减少但无法消除，要计划账号在最糟时刻死亡。
40. 避免常见错误——自己输出中的元数据：截图和报告带有你的用户名、主机名或内部路径并发给客户。
41. 避免常见错误——关联自己的人设：同一头像生成器、同一简介模板、同三个兴趣、一个下午从一个出口 IP 创建；平台正是据此聚类。
42. 避免常见错误——假设被动即不可见：服务器日志中一个请求不算什么，一百个中的独特模式就是签名；扫描器和 API 客户端带有自己的 TLS 和头部指纹，有些会在服务端记录你的查询——要知道什么流量出口到哪里。
43. 每次收集行动后给暴露分级：Clean（无任何东西到达目标控制的基础设施，仅第三方档案、注册表和日志）；Anonymous contact（目标服务器记录了不携带超出你控制的 IP 和常见指纹之外身份的请求）；Pseudonymous contact（目标能看到人设：访客条目、关注、通知；如果人设干净且隔离则可恢复）；Attributed（真实身份、雇主 ASN 或交叉关联的选择器到达目标；停止，记录暴露内容和时间，并告诉案件负责人，隐瞒的暴露会变成对方先发现的暴露）。
44. 在暴露事件发生时记录时间戳：案件出问题后再重建是猜测，客户会问。
45. 参考工作示例：目标是小企业主、技术不复杂但论坛小众且成员注意新账号；姿态用商业 VPN+专用浏览器配置+稳定池中已有的老化人设（不用新号，因为成员列表显示加入日期）；论坛封锁 VPN 范围时不要升级工具，改用档案路线（read-deleted-pages）获取缓存帖子页面，评为 clean；仍需查看实时资料页时，人设从消费者连接而非 VPN 登录，在论坛工作时间内查看资料后离开，论坛无“谁看过”功能，评为 anonymous contact 并注明管理员仍可读访问日志；不做职业社交网络资料查看，因为该平台会通知，把该问题放入报告缺口部分——被惊动的目标比未回答的次要问题代价更高。
46. 把 OPSEC 作为前置条件而非选择器生产者：在 pattern-of-life-from-socials、hunt-a-handle、find-leaks-in-the-wild 以及 find-anyone 或 x-ray-a-company 的任何互动步骤之前运行；用 find-the-original-image 检查头像，用 secrets-in-file-metadata 剥离上传，优先用 read-deleted-pages 而非实时访问，并记录暴露事件以便 write-the-intel-brief 能说明目标可能知道什么。
47. 法律与 ToS：明确说明假账号违反大多数平台的服务条款，准确信息要求几乎普遍，账号会被封且封禁会带走你的收集；违反条款通常是合同问题而非犯罪，但违反条款与未授权访问之间的边界因司法管辖区而异且已有两种判例；与律师决定你的授权是否覆盖并记录。
48. 冒充真实可识别的人比虚构人设严重得多：许多司法管辖区专门将在线冒充定为犯罪（例如 California Penal Code § 528.5），并让你面临诽谤和民事诉讼；冒充执法官员、政府官员或律师在许多地方（包括美国联邦法律）本身即刑事犯罪，任何调查授权都不覆盖。
49. 注意：当用于收集在世人员信息时，人设属于 GDPR 式制度下的个人数据处理，人设自身行为可归因于你的组织；见 ../../ETHICS.md；如果无法书面证明人设的正当性，就不要创建它。

适用边界 · 注意事项

• 当目标只是注册表、档案、CT 日志、法院记录等第三方来源时，不需要人设或复杂基础设施——你只是成千上万人之一。
• 当档案或缓存已持有你需要的内容时，不要进行实时访问——快照不会告诉目标任何事。
• 当平台会通知（如职业社交网络的资料查看）时，不要查看；把该问题放入报告缺口部分，被惊动的目标比未回答的次要问题代价更高。