被劫持 IPv4 资产的保险方案

总结

网络保险可以对路由劫持造成的某些损失做出响应，特别是取证费用、额外成本和业务中断，但前提是该事件符合保单对计算机系统、安全故障、中断和承保损失的定义。保单中的“网络”一词并不保障所有涉及互联网的故障。
路由事件、注册错误以及号码资源权利争议是截然不同的风险。第一种改变的是传播的可达性；第二种改变或禁用权威注册和相关服务；第三种则是当事方之间对权利归属的争议。它们分别需要 BGP 证据、注册证据以及交易或法律证据。
标准样本条款暴露出保障缺口。业务中断条款通常要求被保险或承保的计算机系统直接因列明事件而不可用，且持续时间超过等待期。全球路由系统或 RIR 服务可能并不完全符合保单持有人自身系统或指定供应商的定义。
恢复 IPv4 地址块的市场价值与恢复数据不是一回事。一些样本保单明确将数据的经济价值或市场价值排除在恢复成本之外。一条干净的路由和更正后的注册记录可以恢复运营，但却留下永久性的价值折价、法律账单或错失的销售机会，这些都不在普通的网络保险覆盖范围内。
因此，号码资源保险应该是模块化的：一份路由中断批单、一份注册完整性或依赖服务批单，以及如果市场需要，单独承保的权利辩护或约定价值保障。将它们笼统地统称为“IP 劫持”只会引发关于原因和补救措施的争议。
索赔必须在网络收敛前保存同步证据：路由收集器观测结果、ROA 状态、路由器及上游日志、注册机构工单、经过身份验证的账户历史、RDAP 变更、合同、企业继承、现金流记录以及反事实损失计算。单张截图无法同时证明劫持与所有权。
号码资源社区的方法可以通过设定明确的资产清单、控制标准和证据协议，使风险变得可保。它无法保证赔付、创设所有权或提供全球损失频率。更好的治理能够减少不确定性；实际的保单措辞、方案、批单以及管辖法律才是决定索赔结果的关键。

问题不在于这些地址是否被盗

偷盗的语言令人无法抗拒。发往某个地址块的流量似乎移向了一个未经授权的网络。客户无法抵达合法服务。监控系统将此事件称为劫持。高管们会问，一项资本资产是否被盗，以及网络保险人是否会赔付。

第一个答案是，事件可能很严重，却并不涉及底层注册地位的转移。BGP 传播的是关于如何到达前缀的声明。一个虚假或错误的起源可能吸引部分路由，而 RIR 记录保持不变，合法持有者依然保有账户控制权。当虚假通告被撤回且过滤器收敛后，流量便可恢复，无需任何注册转移。

第二个答案是，注册机构的失陷可能十分严重，却不像典型的路由劫持。攻击者可能会篡改联系人信息、获取账户访问权限、更改路由起源授权或发起未经授权的转移流程。持有者的路由器可能在短期内继续正常通告。决定性的事件发生在权威与服务层，而非最初观察到的路径上。

第三个答案是，权利争议可能不涉及任何计算机入侵。卖方与买方可能对交割存在分歧；关联方可能就哪家公司控制某个老旧地址块产生争议；债权人可能主张担保权益；注册机构可能因状态存在争议而搁置某项请求。网络可以保持可连通，而经济资产却变得缺乏流动性。

保险应对的是明确定义的原因和损失，而非“被盗”这一情感冲击。一份保单可能承保因安全故障导致承保系统不可用而造成的收入损失。它可能覆盖事件响应费用。它可能将合同责任、知识产权争议、财产损害或数据的市场价值排除在外。它可能要求指定依赖服务提供商。它可能设置一个比路由事件最明显阶段更长的等待期。

因此，有意义的问题是：哪个控制面失效了、什么事件导致了该失效、哪个被保利益受损、随之产生了什么可衡量的损失，以及哪个保险条款和除外责任对其适用？除非保单围绕这些问题撰写，否则持有人只会在遭到争议的索赔过程中才发现自己真正的保障是什么。

一个令人担忧的头条背后藏着三种风险

保险人应首先将情景分为三类风险。

路由完整性风险是指未经授权的、意外的或违反策略的路由信息改变其他网络到达被保前缀方式的风险。机制可能是虚假起源、更具体路由通告、路由泄漏或其他操纵。直接损害包括流量转移、拒绝服务、拦截风险、延迟、不稳定或服务质量下降。证据存在于 BGP 更新、路由收集器、路由器、上游记录以及路由安全状态中。

注册完整性风险是指与号码资源相关的权威管理位置或服务在未经适当授权的情况下被更改、禁用或变为不可访问，或者由经授权的机构错误变更的风险。机制可能是账户失陷、虚假文件、人为失误、认证过程失败、错误转移、错误的组织关联，或对 RPKI 及反向 DNS 管理的破坏。证据存在于经过身份验证的账户日志、工单、签名文件、注册记录、服务时间戳和凭证历史中。

权利与交易风险是指当事方就谁可以使用、控制、抵押或转移已获承认的地位产生争议的风险。机制可能包括有缺陷的收购文件、企业继承、违约、破产、相互冲突的担保权益、制裁或未解决的遗留历史。证据存在于合同、发票、董事会授权、企业备案、法院命令、注册协议以及转移流程中。网络日志可以展示使用情况，却不能解决所有法律权利问题。

这三种风险可能相互作用。攻击者可能破坏注册账户、创建或删除路由授权，然后通告前缀。卖方在引发争议的销售之后可能继续路由。持有人可能将一次意外的上游泄漏称为劫持，而保险人则在调查是否有任何被保系统遭受了安全故障。相互作用并不消除区别。

增加第四个类别很有用：声誉与依赖风险。一次劫持可能导致垃圾邮件、欺诈或滥用流量被归因于这些地址。即便路由纠正之后，黑名单、欺诈系统、地理位置和客户允许列表可能依然错误。持有人保留了地址块，却失去了部分生产性的接受度。这通常构成事件的长尾，并且可能不适用于保单的恢复期。

每种风险有不同的补救措施。路由事件需要撤回、过滤、正确的授权和传播。注册事件需要账户隔离、经过认证的更正和服务恢复。权利争议需要协议、裁决或经承认的转移。声誉损害需要第三方修复。为一种补救措施付费，不能假定会治愈其他问题。

路由劫持是一次具有安全后果的可用性事件

NIST 特别出版物 1800-14将路由前缀劫持定义为一个自治系统意外或恶意地针对其无权起源的前缀产生 BGP 更新。NIST 指出的后果包括拒绝服务、非预期的流量绕行、误投递以及严重的性能下降。这对保险而言是一个强有力的起点，因为它描述了事件和损害，而并未声称注册所有权发生了变更。

BGP 是分布式的。持有者并不拥有或操作每一台接收通告的路由器。每个网络应用自己的路径选择和策略。一条更具体的未经授权路由可能从许多地方吸引流量；而一条等长的虚假起源可能影响不同的集合。过滤和路由起源验证并非统一实施。因此，事件可能是局部且地域不均匀的。

局部性使业务中断复杂化。当受影响网络背后的客户无法访问时，一个网站对于保单持有人的监控点可能依然可用。一个 API 可能接受部分调用，却使其他调用超时。一项支付服务可能以降低的容量继续运行。要求“完全”不可用的保单与承保部分中断、放缓或降级的保单会产生不同的争议。

持续时间也很棘手。恶意路由可能仅可见二十分钟，而缓存、会话、DNS、欺诈控制以及客户信心需要更长时间才能恢复正常。等待期能够排除短暂的路由事件，即便响应成本和下游损失仍在持续。反过来，从发现时起算赔偿期的保单，可能需要一个明确的方法来处理持有者发现异常之前就已开始的损失。

安全因果关系并非自动成立。一个未经授权的起源可能是由恶意行为、意外配置错误、失效的客户授权或存在争议的商业关系导致。仅限于恶意行为的保单可能对此区别对待。更宽泛的系统故障或人为错误扩展或许有所帮助，但前提是相关系统和行为者符合其定义。

RPKI 改善证据和防御，但并不使路由自我执行。根据RFC 9582，ROA 表达的是针对所覆盖前缀，哪个起源 AS 是经授权的。使用路由起源验证的网络可以对冲突通告进行分类，但本地路由策略决定其效果。一个有效的 ROA 是起源授权的证据；它不是业务中断、攻击者身份、市场价值损失或法律所有权的证明。

对保险而言，路由劫持应被设计为一种可衡量的完整性和可用性风险。将其视为号码本身的盗窃，会给路由证据造成无法满足的举证负担。

普通网络保险从被保系统入手

公开样本保单不会告诉我们每个买方购买了什么。它们确实展示了起草问题。

Allianz UK 目前的Cyber Select 措辞提供业务中断保障，针对由定义事件引起且超过等待期的公司计算机系统全部或部分不可用所造成的直接损失。其基本的业务中断事件是在受被保人直接运营控制的系统内发生的网络攻击；扩展条款处理这些系统中的人为错误和技术故障。

Chubb Australia 的Cyber Enterprise Risk Management 版本 2.2 样本通过无法访问、中断或干扰受保或共享的计算机系统来定义业务中断事件，这些事件由列明事件直接引起，包括恶意行为、未经授权使用、人为错误、网络安全故障和编程错误。其受保系统定义包括由被保人拥有、租赁或运营的系统，以及由签约供应商仅为其利益而运营的系统。

RSA 的Cyber Protection 措辞同样将网络业务中断与被保人计算机系统的不可用联系起来，并在购买后提供指定或非指定供应商的或有中断保障。它通过毛利润或毛收入加上增加成本来计算损失，并受等待期和方案的限制。

这些示例包含有用的保障。它们也表明，IPv4 持有者为何不应依赖隐含含义。一个外部自治系统的未经授权通告是否属于“被保人计算机系统内”的事件？全球域间路由系统是否是一个共享的计算机系统？RIR 运营的系统是仅为持有者的利益，还是为区域社群？一个上游是否是命名供应商？降级是否足够，还是必须被保系统不可用？

答案取决于措辞和事实。持有者自有的边缘路由器可能保持健康，而传入流量却被转移到了别处。被保应用可能就绪，但从受影响网络无法抵达。如果触发条件聚焦于自有硬件受损，那么原因发生的物理位置就会引发争议。如果聚焦于因未经授权路由传播导致的对约定前缀可达性的丧失，保单便能应对实际的风险。

批单应在起保前弥合这种语义差距，而不是在中断发生后要求理赔员重新解释“计算机系统”。

注册服务并不能被整齐地塞进供应商的框框里

RIR 在政策和合同框架内提供注册及相关服务。它并不只是一个被雇来运营某个客户应用的云供应商。

ARIN 的注册服务协议描述了包括注册条目、反向名称服务、RPKI、记录维护以及地址空间管理等服务。它与持有人的关系直接关系到对这些服务的控制。APNIC 的转移政策将当前注册持有人身份以及不存在资源状态争议作为转移的条件。这些主要文件展示了机构权威；但它们并不使注册机构成为每一次路由或商业结果的担保人。

对于网络保险来说，分类问题是困难的。或有业务中断条款可能承保指定供应商的计算机系统宕机。一次注册错误可能根本不涉及注册机构自身系统的宕机。系统完全可以按照设计运行，而一条记录却基于虚假证据被更改，或被分配到错误的账户。有害的输出是权威的错误，而非服务器的不可用。

账户失陷呈现出另一边界。如果保单持有人的凭证被钓鱼并在 RIR 门户中使用，安全故障可能始于一个被保的电子邮件系统或身份账户。如果攻击者直接破坏注册机构，事件则发生在提供者处。如果一名工作人员处理了一条真实却有误的指示，事件可能属于人为错误，并无未经授权的访问。相同的可见记录可以由不同的被保原因造成。

其影响也与普通的供应商宕机不同。如果无需变更，两小时的门户中断可能不会造成任何损失。两分钟的未经授权转移却可能导致数月的修复工作。只衡量服务可用性会遗漏完整性问题。

因此，注册批单应当从功能上定义“注册完整性事件”：通过约定的 RIR、NIR 或经批准的注册服务，未经授权或错误地创建、删除、更改、转移、暂停或拒绝访问，从而影响约定的号码资源记录或相关授权。它应明确是否承保恶意行为、被保人错误、提供者错误以及虚假文件。

该批单必须保持机构边界。保险不能命令 RIR 承认某个索赔人、绕过政策或签发 ROA。它可以在正当程序运行期间支付覆盖的响应成本、业务中断以及可能约定的修复费用。注册机构仍在其职权范围内充当证据来源和决策者；保险人则仅在其合同内充当赔付者。

权利争议更接近所有权风险，而非网络安全

设想某公司购买了一个/16，支付了卖方并成功进行了通告。后来，一家前关联企业声称卖方缺乏授权。注册机构冻结了转移请求。没有凭证被盗，没有系统故障，且在运作安排下没有路由是未经授权的。然而，买方却无法按预期出售或为该地址块融资。

这与劫持不是同一种风险。损失可能源于保证、企业权限、违约、债权人优先级或法院判决。网络取证可能贡献甚微。决定性的证据是交易性的。

普通网络保险措辞恰恰能够排除或限制这些争议。Allianz 样本包含一项合同责任除外条款（受限于列明的例外情况）以及一项关于知识产权和许可争议的除外条款，同时其业务中断定义将合同与许可中止或取消导致的某些损失排除在外。Chubb 样本排除了某些知识产权争议，并说明数据恢复成本不包括数据的经济或市场价值。这些条款并不决定任何假设的 IPv4 索赔；它们表明为何“无形资产”并非自动成为“受保的网络财产”。

号码资源也难以适用常见的产权保险假设。RIR 协议和区域政策用不同的语言定义注册和服务权利。ARIN 的当前协议指明了其数据库内以及根据政策所包含的一揽子特定权利。APNIC 则表示，转移完成后来源方不再对已转移资源享有权利，接收方成为注册者。法院或合同可以处理注册关系之外的利益，但保险人必须知道自己在承保什么利益。

如果市场想要权利保障，就应当单独承保。相关提案可以涵盖针对未知第三方质疑的辩护费用、因最终不利裁定造成的损失，或特定转移陈述的落空。它需要一份包含精确前缀、控制链尽职调查、指定协议、已知争议排除、估值基础、法律选择、合作义务以及对卖方或顾问的追偿权的方案。

这种产品将更像专项产权、陈述与保证或交易风险保险，而非普通网络业务中断保险。它可能很有价值。在不设单独条款的情况下称其为网络保障，会同时模糊承保评估和保单持有人的预期。

权利风险还存在一个道德风险问题。保险不应奖励忽视明显链条缺陷的买方，也不应奖励在已知索赔人反对的情况下进行转移的卖方。详细的尽职调查并非保险人附加的官僚程序；它是使不确定的无形利益得以投保的证据。

业务中断保障的是现金流，而非抽象资产

路由劫持后最有力的普通保障案例，通常不是针对地址块的市场价值，而是针对业务无法使用它期间所损失的收入和产生的额外费用。

样本保单通常定义财务衡量方法。Chubb 的澳大利亚措辞通过比较预期和实际的税前净利润来计算业务中断损失，并受等待期和调整条款的约束。RSA 的措辞使用毛利润或毛收入加上合理增加的运营成本。Allianz 使用预计的和实际的净营运利润，并考虑相关趋势和业务发展。方案、自留额、分项限额和赔偿期仍然具有决定性。

IPv4 的索赔需要一个与受影响服务相关联的反事实。保单持有人应明确哪些客户、区域、应用或交易不可达；影响何时开始；何时结束；原本可能产生多少收入；节省了哪些成本；以及哪些额外支出减少了损失。事件窗口期内公司总收入的下降并不能自动归因于该路由。

路由数据与财务数据运行在不同的时钟上。BGP 收集器可以显示何时选定的观测点收到了未经授权的通告。应用日志可以显示请求失败。客户支持记录可以显示受影响的用户。账单和交易数据可以显示经济影响。索赔应当将它们对齐，而非从每类数据中选取最长的间隔。

部分中断需要一个可辩护的分母。如果 200 个监测点中有 30 个发生故障，这并不能证明损失了 15% 的收入。这些监测点可能并不代表客户流量。如果某个支付区域故障，对收入的影响取决于实际需求。没有任何全球转换率能够得到现有公开证据的支持。

额外费用可能更容易证明：紧急转接、DDoS 或路由支持、事件响应、临时基础设施、客户沟通、司法会计（经覆盖的加班）以及加速修复。可能需要事先同意和经批准的供应商。持有人在授权进行高成本响应之前应当了解这些条件。

恢复期也需要一个 IPv4 定义。当虚假路由消失时、当预期的可达性恢复时、当 RPKI 状态正确时、当注册记录恢复时，还是当依赖的声誉系统正常化时，才算达到恢复？保单可以选择。默不作声则会产生争议。

因此，业务中断是一座跨越承保事件的现金流桥梁。它并不是对永久资本资产进行估值的保单。

数据恢复不是号码资源恢复

网络保险通常支付恢复或重建数据以及恢复系统。IPv4 持有者可能合理地认为，更正 RIR 记录或路由对象就是数据恢复。但这种类比存在局限。

注册记录是电子信息，但其权威源于维护它的机构。保单持有人无法通过恢复本地备份来逆转官方转移行为。ROA 是认证层级中的一个签名对象；复制昨天的文件并不能重建当前的权威。BGP 可达性源自其他网络的接受。这些都是受治理的状态，而不仅仅是丢失的文件。

Chubb 的样本尤其具有启发性。它承保恢复或重建受损、失陷或丢失的数据以及修复或恢复软件的合理费用，并受定义和限额约束。它还说明，数据与系统恢复成本不包括数据的经济或市场价值。即使号码资源记录在某个条款中被视为数据，那也并不必然使地址块的市场价值成为一项恢复成本。

恢复应当分为四项任务。技术恢复恢复预期的路由和服务。权威恢复恢复经认证的注册和 RPKI 控制。信息恢复纠正记录、配置和文档。经济恢复处理失去的现金流、出售价值、融资价值或声誉。一份保单可能承保一项、几项或全不承保。

改善形成了另一个边界。劫持之后，持有者可能想要新的 RPKI 自动化、多样性转接、监控和账户控制。某些措辞承保定义狭窄的改善，条件是经同意或比同类恢复更便宜；另一些则只恢复到之前的状况。为了达到持有者本应早已满足的安全标准而产生的成本，可能被除外或限额。

实际的解决方案是定义一个号码资源恢复成本定义。它可以包括对约定注册记录进行认证和更正的合理费用、重建有效 ROA 和路由对象、协调撤回与过滤、恢复反向 DNS，以及修复地址声誉，并受同意和分项限额的约束。它应当说明注册费用、法律请求书和专家经纪人成本是否包含在内。

该定义不应悄然承诺购买一个替代地址块。重置价值是不同的风险敞口，需要约定的估值和确认约定利益永久丧失的触发条件。

证据决定哪份保单适用

调查号码资源事件的保险人应当能够构建一个时间对齐的证据矩阵。

对于路由完整性，保存精确的前缀、授权起源、观察到的未授权起源、通告长度、AS 路径、收集器和观测点、首次和末次观测、上游会话、过滤器变更以及 ROA 验证状态。路由器日志、窥镜工具输出和路由收集器数据应以 UTC 时间戳标记。公共路由收集器是其对等点观测情况的独立证据，而非每个网络的完整地图。

对于注册完整性，保存组织和资源标识符、经认证的用户列表、多因素事件、门户审计历史、工单、通话记录、提交的文件、RDAP 或目录快照、RPKI 变更、反向 DNS 变更以及转移状态。若注册机构提供了正式的事件或更正记录，予以保留。公共记录可能显示结果，却不能显示是谁认证了该请求。

对于权利，保存收购协议、精确 CIDR 的方案、发票和付款、董事会批准、卖方陈述、企业继承文件、合并文件、注册机构协议、先前的转移、留置权、与索赔人的通信以及法院命令。一封授权书可能支持路由，但可能无法确立可转移的注册权利。

对于业务中断，保存应用可用性、客户工单、交易尝试、取消、服务积分、节省的费用、缓解支出以及历史对照数据。计算应说明未受影响的基线和趋势。它应当区分等待期内的中断与之后的损失。

对于声誉，保存黑名单条目、移除请求、欺诈评分变化、被拒邮件或 API 流量、客户通知以及修复时间表。避免在没有因果联系的情况下，将事件后的每一次客户损失都归因于劫持。

被保人应立即通知保险人，并在需要时获得同意，同时保留为保护服务而紧急行动的权力。保单可以预先授权一组路由、RIR、法律和取证专家。一个缺乏域间路由专业知识的勒索软件响应小组，可能会浪费最初几个小时询问一台路由器是否被加密。

证据还能保护保单持有人避免分类错误。如果路由数据显示没有未经授权的起源，但注册历史显示一个 ROA 被删除，该索赔就不是一次典型劫持。如果两者均未改变，而卖方的关联企业发来一封要求函，则此案属于权利模块。正确的分类能加速补救措施和保障分析。

批单应列明控制面

一份有用的保单无需保障整个互联网。它需要精确列明保单持有人的依赖项。

声明部分可以列出承保前缀或一份客观维护的清单、承保的起源 AS、相关的 RIR 或 NIR 账户、授权上游、重要服务以及指定依赖供应商。期间内的变更可通过受控流程报告。极大数量的组合可以使用带审计权的类别，而非印出数百万个地址，但被保的数量必须保持可重现。

路由完整性事件可被定义为影响约定前缀并造成可衡量的中断或降级的未经授权 BGP 起源、未经授权的更具体通告、承保的路由泄漏或恶意路径操纵。该定义应分别处理意外事件、恶意事件和商业争议。它不应给每一次可达性故障都贴上劫持的标签。

注册完整性事件可承保影响约定注册或 RPKI 服务的未经授权或错误的更改、删除、转移、暂停或拒绝访问。保单应明确提供者错误和被保人的人为错误是否承保，以及 RIR 是否必须被指定为依赖服务。完整性损失不应要求提供者的整个系统处于离线状态。

号码资源恢复费用条款可以就专项调查、路由协调、注册更正、RPKI 修复、反向 DNS 恢复、声誉修复工作以及必要的临时能力进行赔付。方案可应用分项限额和经批准的供应商。

网络中断损失条款可承保部分或全部可达性的丧失、定义的服务降级，以及在适合路由事件的等待期后导致的收入损失。若事件突发且代价高昂，较短的免赔时间或金额式自留额可能比漫长的等待期更为合适。

单独的权利辩护或约定价值模块可在严格的尽职调查下处理未知的不利主张。它不应被塞进数据恢复措辞中。已知争议、故意未经授权的转移、制裁以及不可保的补救措施需要明确处理。

保单必须协调这些模块。如果账户失陷导致了一个错误的 ROA，接着又导致一条虚假路由，除非有意为之，否则同一事件不应触发重复的限额或自留额。同时，权利模块中的一项除外责任，不应仅仅因为当事方后来就所有权产生争议，就抹掉原本承保的中断。反并发因果关系的措辞、关联事件条款以及保障优先级都需要审慎起草。

精确性并非不利于保单持有人。它让保险人能够对风险暴露进行定价，也让持有人清楚预期能获得何种补偿。

承保应奖励控制力，而不仅是规模

计算地址数目是衡量损失的劣质替代指标。一个支撑一项弹性服务的/16可能比一个嵌入关键支付标识、只有单条上游且无 ROA 的/22表现出更低的中断风险。

承保应从清单质量开始。申请人能否提供精确的前缀、注册实体、起源 AS、服务、合同和账面价值？租用与自有资产是否分开？有争议或遗留的资源是否已识别？未知的清单不是分散化，而是未衡量的风险敞口。

路由控制很重要。承保人可以询问 ROA 覆盖情况与最大长度规则、上游前缀过滤、路由监控、多样性转接、紧急联系人、变更审批以及经测试的撤回流程。RPKI 很有价值，但不应被视为安全性的二元保证。NIST 指出，路由起源验证减轻了一类劫持；它并不能消除每一次路径操纵或运营错误。

注册控制则需单独考量。承保人可以评估多因素认证、角色账户、备用授权联系人、企业记录核对、转移审批、账户恢复、法律实体变更以及定期验证。保单持有人应当能够说明谁可以创建 ROA 或请求转移，以及破坏性操作如何受到审查。

权利控制包括收购尽职调查、精确的 CIDR 方案、卖方权限、保证、注册完成情况、相关情况下的留置权检索、企业继承以及对遗留空间的处理。一段清白的 BGP 历史弥补不了一条断裂的收购链条。

业务连续性应检验地址依赖性。服务能否使用替代前缀？客户允许列表需要多长时间才能更改？是否有临时容量可用？公司是否与上游预先约定了帮助？一个替代地址块在技术上可能易于通告，在商业上却无法替代，因为客户信任旧的地址。

承保人还应识别集中度。许多被保险人可能依赖于同一个 RIR、转接提供商、云平台、RPKI 仓库或被广泛使用的路由验证软件。单一事件可能产生关联索赔。GAO 2022 年关于灾难性网络风险的报告指出，私营保险人通过除外责任和其他措施将自身对系统性网络事件的敞口限制在一定范围内。互联网路由本质上是系统性的，因此聚合风险不容忽视。

这些控制措施都无法提供全球损失概率。公开的 BGP 事件、欺诈报告和转移日志有着不同的基数和报告偏差。承保应诚实地为不确定性定价，而非仅凭可见事件臆造出一个发生频率。

理赔需要原因树，而非互相指责的竞赛

事件期间，运营人员需要在律师们完成风险命名之前恢复服务。保单应支持这一优先事项，同时保全证据。

首次理赔会议可以使用原因树。是否出现了一条未经授权的路由？约定注册或 RPKI 状态是否变更？被保人或提供者系统是否遭受了未经授权的访问、人为错误或技术故障？是否有第三方主张权利？哪个事件最先发生？在每种状态被纠正后，哪些损失仍在持续？

这种排序防止了简单化的因果判断。假设失陷的 RIR 凭证允许删除某个 ROA。随后，一个无关的上游将合法路由视为无效而拒绝，造成中断。直接的路由是由被保人始发的；不存在虚假起源。原因可能是一个导致路由策略拒绝的注册安全事件。一份仅承保“劫持”的保单可能会遗漏这种情况。

假设一个上游意外泄漏了持有者的路由，造成拥塞，但没有未经授权的起源。NIST 及运营实践将路由泄漏与起源劫持区别开来，尽管两者都会中断服务。批单应当说明泄漏是否承保。

假设卖方在一次付款争议中撤销了路由授权。从技术上讲，路由可能变得无效。从商业上讲，该行为可能源于合同执行而非恶意入侵。除非保单说明如何处理有争议的授权，否则业务中断模块与合同除外责任可能相互冲突。

理赔员应按阶段衡量损失：检测、活跃路由或注册事件、技术恢复、依赖服务正常化以及长尾修复。保障可能因阶段而异。取证和响应成本可能立即附着；业务中断可能在等待期后开始；声誉花费可能存在分项限额；权利诉讼可能另有安排。

追偿也取决于类别。向恶意行为者追偿通常是不现实的。向疏忽的服务提供者追偿可能受合同限制。向卖方、经纪人或顾问追偿在存在瑕疵的转移中可能很重要。保单持有人必须保留这些权利，并避免做出不利于保险人的承认，同时遵守实际保单的规定。

原因树并不保证赔付。它使分歧变得清晰可辨。保险人可以指出触发条件、除外责任或金额问题；保单持有人可以用证据作答。这比在客户掉线时争论一个地址是否“真的是财产”要好得多。

RIR 是证据机构，而非最后贷款人式的保险人

区域互联网注册机构在这些索赔中处境艰难。它们的记录和审计轨迹可能是决定性的，然而它们并非网络保单的当事方，也无法控制每一条路由。

一个 RIR 可以认证其账户事件、解释转移状态、依据其流程更正错误、管理托管的 RPKI 服务并维护公共注册。它可以说明某个来源根据政策是否是当前的注册持有人，或者是否存在争议阻碍转移。这些事实能够确立注册层面。

它通常不能证明保单持有人损失的利润、决定每个网络如何路由、为地址块估值，或确定保险保障范围。保险人也不应要求 RIR 在赔付由承保的完整性事件造成的业务中断之前，将该事件标记为“盗窃”。注册机构的用语遵循其机构职权范围。

ARIN 的欺诈报告表格接受关于涉嫌以欺诈手段获取资源或未经授权更改记录的举报。这是一条有用的事件路径。它并不发布全球欺诈基数，也不承诺特定的补救措施。APNIC 将存在争议的来源排除在转移之外的政策条件是一种控制手段。它并不裁决每一项私人主张。

最佳的保险设计会创建一个联络协议。被保险人授权指定专家与注册机构沟通，保留工单标识符，提供经认证的企业文件并记录决策时间戳。保险人资助承保的专家费用，而不试图在政策之外指挥注册机构。

注册机构还可以通过可导出的账户历史、强认证、多角色持有者、在安全前提下延迟破坏性变更、清晰的事件上报机制以及机器可读的转移状态来改善可保性。这些改进能够为所有人减少证据不确定性，而不仅仅是保险人。

透明性存在边界。公开暴露账户安全细节、索赔人或受限制的文件可能制造新的风险。保险人可以在同意和保密的基础上接收证据。公开的转移和路由数据依然有用，却并不完整。

一个尊重这些界限的保险市场将正确使用 RIR 证据：作为注册和服务状态的强有力证据，而非一张涵盖所有权、路由或经济损失的万能证明。

系统性路由风险需要明确的承保能力决策

当损失足够独立并可以汇聚时，网络保险的效果最佳。互联网路由建立在公共依赖之上。

一条被广泛传播的坏路由可能同时影响成千上万的保单持有人及其供应商。一个主要平台中的故障可能中断众多网络。一个 RPKI 仓库或验证问题可能产生关联的路由响应。一场国家关联的行动可能引发归因和战争除外问题。这些并不是让每个持有人都无保障的理由；它们是需要定义聚合风险的理由。

GAO 2021 年的网络保险报告发现，这是一个不断演变的市场，客户可能难以确定保障范围，因为关键术语缺乏标准定义，且保险人面临有限的历史数据。2022 年 GAO 的报告描述了私营保险吸收灾难性攻击的有限能力，并指出了保险人限制系统性敞口所采取的措施。NAIC 的网络安全概览同样将网络保单描述为高度定制化的。

对于号码资源保障，保险人应说明广泛性的路由事件、互联网基础设施宕机、提供者故障、战争关联事件或政府行为是否被除外、设有分项限额或承保。持有人不应从一条为单一失陷网络设计的条款中推断出巨灾保障。

聚合建模需要标识符：RIR、RPKI 信任锚点和仓库、验证软件、转接提供商、云平台、DNS 依赖和地理集中度。精确数据可能不完整。保险人可以使用情景模拟而非虚假的精确性：同时失效、重大路由泄漏、提供者账户失陷、或区域范围的注册服务中断。

承保能力可以分层。普通的短期路由事件可置于基础网络保单中。广泛事件保障可设有单独的分项限额和自留额。权利保障可保持特定于交易。基于观测可达性的参数化保障可以快速赔付，但前提是指标与实际损失相关并且能抵抗操纵。

保单持有人应当理解传统财产险和业务中断险中的隐性网络风险。传统业务中断往往依赖于物理损坏，而独立的网络措辞处理的是网络事件。重叠与空白需要协调。一个包含财产险、网络险、技术错误与疏漏险、犯罪险和交易险的塔式结构，应当确定对于每种号码资源风险，哪一层主导赔付。

最危险的系统性假设，就是认为另一份保单会响应。明确的承保能力比就沉默进行诉讼更便宜。

号码资源社区可以创建一种可保的纪律

号码资源社区的提议在此很有用，因为保险所需要的，正是良好管理所需的东西：一个受控变化、证据可恢复的明确风险敞口。

首先，NRS 将号码资源视为受管理的依赖项，而非被遗忘的配置。这鼓励了精确的清单、指定的保管人、注册信息核对、路由安全控制和连续性计划。保险人可以依据这些事实承保。

其次，它将运营控制与经济利益视作相关但分离的。网络团队可以证明起源和路由历史。注册团队可以证明账户状态。法律和财务团队可以证明收购和现金流。理赔不再那么容易被“一个数据库就能解答所有问题”的错误信念所影响。

第三，它珍视连续性。一个地址可能深深嵌入客户允许列表、合作伙伴访问、合规规则和服务标识中。因此，一次短暂的路由事件可能造成与受影响地址数量不成比例的业务损失。仅凭地址数量承保会遗漏这种依赖性；NRS 式的映射使其变得可见。

第四，它支持预防。精确的 ROA、提供者过滤、经认证的注册访问、经过测试的联系人以及计划好的替代方案能够减少损失。保险应奖励这些控制，而不承诺它们能消除风险。NIST 将路由起源验证描述为缓解措施，而非全面的安全保障。

证据边界依然稳固。NRS 并不创设所有权，不强迫 RIR 做出决定，不证明损失率，也不凌驾于除外责任之上。它不应在实际保单仅承保响应费用时，推销“完全受保的地址”。积极的机构语言必须与保单方案相匹配。

最佳的结果是形成一个反馈循环。更好的持有人产生更好的证据。更好的证据允许更窄的定义和更公平的定价。更清晰的保障能资助更快的专家响应。在受到适当保护的情况下，理赔数据可以揭示哪些控制措施有效。注册机构和运营商能够改进流程，而无需成为保险人。

这就是围绕号码资源的社会如何变得在经济上严肃起来：不是通过宣称每一个前缀都无价，而是通过使控制力、连续性和风险变得足够可衡量，从而能够进行治理。

保单在起保前应回答十二个问题

持有人和经纪人可以用十二个问题来检验一份备选保单。

精确的前缀或一份可重现的投资组合定义是否已在方案中列明？
受保计算机系统是否包含持有人的路由基础设施和相关的外部运营系统？
未经授权的路由传播本身是否即为触发条件，还是必须被保人自己的系统受到损害？
路由泄漏、意外起源、恶意劫持和有争议的授权是否被区别对待？
中断是否包括部分可达性损失和可衡量的服务降级？
对于一次短促却带有长尾的路由事件，适用怎样的等待期、自留额和赔偿期？
RIR、NIR、RPKI 和上游服务是否作为依赖项被指定或功能性包含？
注册完整性是否承保错误的变更以及恶意失陷？
哪些专家响应、注册更正、临时容量和声誉成本被覆盖，又需要谁的预先同意？
号码资源地位的市场价值或约定价值在何处被承保，还是仅有现金流损失和恢复费用被承保？
合同、所有权、知识产权、基础设施、战争和已知事件除外责任如何适用？
被保险人必须履行哪些证据、通知、合作、估值和追偿义务？

如果答案不在措辞、批单和方案中，销售演示无法提供这些。产品概要通常会提到“业务中断”，却不定义系统、触发条件或损失。合同才会定义。

持有人随后应进行三次桌面推演理赔。第一次，一个虚假起源转移了半数观测流量，持续四十分钟，客户故障则持续六小时。第二次，一次经认证却属欺诈的注册变更使 ROA 控制失效两天。第三次，一家收购前的关联企业主张权利，冻结了一笔计划好的销售，却没有干扰路由。经纪人和承保人应当为每种情形找出适用的条款、自留额、证据以及可能未获保障的损失。

任何将这三种情形视为相同索赔的答案都是一个警告。任何在未审查定义的情况下就保证赔付的答案则更糟。

目的并非消除所有模糊性。保险总是将措辞应用于意料之外的事实。目的是将可预见的边界置于双方都能看见的地方。

为实际可能发生的损失投保

当一条恶意的 BGP 通告出现时，IPv4 地址块并不会消失。可能消失的是可达性、可信的控制、可售性、收入或信心。每一项只有在被指明和衡量时，才能被保险。

路由事件主要属于网络中断和响应模块。触发条件应反映未经授权的可达性，而非对地址的物理占有。注册错误属于完整性和依赖服务模块，该模块同时承保错误的权威状态和系统宕机。所有权争议如果承保的话，应属于经过单独尽职调查的权利或交易模块。声誉和长尾修复需要它们自己的限额和期间。

这种分离对保险人有利。它防止普通的业务中断保费悄然承担存在争议的资产价值。它使聚合风险清晰可见。它引导理赔员获取正确的证据。

这对持有人同样有利。他们可以看到，保险人可能赔付取证成本和利润损失，而不必购买一个替代地址块。他们能够协调注册、路由、法律和财务控制。他们可以选择权利保障是否值得其尽职调查和价格。

没有公开来源提供导致保险损失的 IPv4 劫持、造成永久影响的注册错误，或使持有人败诉的所有权争议的全球百分比。可见的事件缺少共同的基数，而私人索赔也未全面公开。一份诚实的保单不应依赖于臆造的确定性。

网络保险是否覆盖一项号码资源资产的最终答案是有条件的，却是有用的。它可以覆盖重要的后果。不应假定它能覆盖该资产的法律或市场价值。通过精确的批单、列明的依赖性、适当的等待期以及索赔证据协议，这一差距可以被缩小。

一项被劫持的资本资产需要的不仅仅是一个网络标签。它需要一份清楚路由、注册与权利之间区别的保单。