品牌滥用与侵权追踪

01 · 监测体系总体架构

品牌滥用监测是一个五段式流水线：品牌画像→多源采集→富化归一→识别判定→分级分发。设计原则有三：①召回优先、精度分层——采集环节宁可多采，判定环节逐级过滤；②快照留痕——每个环节输出物都带时间戳存档，兼顾复核与取证；③可对抗——假设攻击者会针对监测特征做规避，算法保持多样性冗余。

02 · 品牌画像与监测关键词库

2.1 品牌画像要素

• 核心标识：注册商标文字（含各注册类别）、官方域名清单（含历史域名与防御性注册域名）、官方APP包名与签名证书指纹；
• 扩展标识：产品/服务名称、子品牌、活动与项目名称（如大促、会议、演唱会）、高管与发言人姓名拼音；
• 官方基础设施白名单：官方ASN、IP段、NS服务器、邮件发送域（用于排除误报）。

2.2 变体生成规则（召回侧核心）

说明：开源工具dnstwist实现了其中大部分变体生成规则，工程上可直接复用并扩展中文规则。

03 · 多源数据采集体系

04 · 网页视觉与结构识别技术

4.1 视觉相似度比对

对候选域名首页截图与官方站点截图进行三级比对：①感知哈希（pHash/dHash，对缩放、压缩、轻微裁剪鲁棒，适合整页克隆的快速初筛）；②结构相似度（SSIM，度量局部结构保真度，能识别"换皮克隆"）；③特征点/深度学习嵌入（对重排版、多模板克隆更强）。三级结果为加权证据进入置信度模型（§06）。

4.2 页面结构与资源指纹

DOM树结构哈希、CSS选择器序列、静态资源URL模式（cdn路径、图片命名习惯）构成"结构指纹"。仿冒者常复制原站HTML但改写资源链接，结构指纹与视觉结果交叉可显著降低误报。对采用反爬/环境感知（cloaking）的目标，应采用多地域、多UA、多时段的差异化采集。

4.3 Logo与品牌素材检测

对截图进行OCR与模板匹配检测品牌Logo出现位置，结合颜色直方图与感知哈希比对官方素材库。Logo"出现且点击跳转异常域"是强判定信号——正常授权渠道（经销商、新闻稿）与滥用行为的区分需结合链接目标与页面上下文（如Logo旁出现"客服""验证""退款"等诱导词组）。

4.4 文本语义分析

页面标题、正文与官方语料库做向量相似度比对（Embedding），同时维护品牌钓鱼话术模板库（"账户异常""退款申请""积分兑换""保证金"等），识别"语义仿冒"——页面不含品牌原文但通篇模仿官方语气与业务流程。

05 · 证书与基础设施特征分析

• 证书滥用聚类：同一证书同时覆盖大量品牌变体域名、或同一证书主体短期内频繁签发又弃用，是钓鱼基础设施的典型特征；免费证书服务的普及（如Let's Encrypt）大幅降低了钓鱼站点的TLS部署成本，证书维度需与注册时间、解析行为联合判定。
• 基础设施聚类：通过同IP/同IP段、同ASN、同NS、同注册邮箱（或其哈希）将域名聚类为"资产池"。单域名处置后，资产池关联域名应自动进入重点监测名单，防止"打一点换一片"。
• 解析行为特征：短命TTL、频繁变更A记录、泛解析（*.domain）承接随机子域，是DGA式与批量钓鱼域名的识别信号。

06 · 置信度分级模型

借鉴GB/T 36643-2018对威胁信息"可信度"字段的分级思想，本课题将识别结论分为三级：

置信度采用加权证据模型：各证据项（文本相似度、视觉相似度、证书异常、解析异常、话术命中、情报命中）按历史命中率赋权，动态贝叶斯更新；每季度用已处置案件回测校准权重，形成闭环。

07 · 误报控制与人工复核机制

• 白名单体系：官方基础设施、授权经销商域名清单、新闻媒体引用豁免，按"域名+路径"粒度维护；
• 交叉验证：多引擎（VT、URLhaus等）结果交叉，独立来源命中≥2方提升置信级；
• 人工复核SLA：疑似件24小时内复核完毕，复核界面提供全景证据视图（快照、历史解析、同资产池域名）；
• 红蓝对抗评估：每半年由红队模拟新型仿冒手法攻击监测系统，测量召回率与规则衰减率，结果纳入KPI（第7页）。

08 · 工程实现要点

• 去重与归并：同一资产池的重复告警自动归并，防止告警风暴淹没分析人员；
• 快照存档：所有判定证据（截图、HTML、解析记录、WHOIS/RDAP响应）带可信时间戳归档保存，直接支撑第4页取证要求与第6页投诉文书自动生成；
• 性能预算：全量采集不可行，采用"域名层轻量全量过滤+网页层深度按需采集"的两级漏斗，控制成本；
• 可观测性：流水线各环节（采集成功率、判定耗时、队列深度）全程监控，故障自动降级。

本节参考来源（第3页）