> траффика на уровне устройства конечного пользователя

Требуется анализировать весь трафик всех анонимных сетей. Для этого необходимо контролировать все хосты всех этих сетей, что по определению является не решаемой задачей. Причем, для анализа трафик предварительно нужно будет еще и расшифровать.

СОРМ здесь никаким боком.

> Если Вам так спокойнее, пусть для Вас будет так

Мне как-то все равно. Это факт. Провайдер видит (может видеть) левые IP и MAC адреса, никакого легального способа сопоставить их реальному пользователю не существует.

> Это не ресурсоемкая задача

По-вашему, как выглядит алгоритм решения такой задачи?

> В Штатах почему-то могут разваливать ботнеты

Вы почитайте о методах, которые при этом используют и сроках, которое занимает расследование.