01 · 四级判定分级
监测系统的输出不是"是/否"的二元结论，而是分级判定+差异化处置。分级标准须与处置动作严格映射，避免"高分低处置"或"低分高打断"两类运营事故：
| 等级 | 定义 | 判定标准（示例） | 对应处置动作 |
|---|---|---|---|
| P1 确认仿冒 | 证据链完整、恶意无可辩驳 | 视觉仿冒命中+表单窃取行为复现+外部情报同报 | 立即通报/阻断、证据固定、发起处置（子课题04） |
| P2 高度疑似 | 多项强信号、无反向证据 | 域名高相似+证书/NS关联已知恶意基础设施 | 进入快速复核队列（目标≤4工作小时）、临时提升监控频率 |
| P3 可疑 | 单项强信号或多项弱信号 | 仅域名相似、或仅CT日志出现品牌变体证书 | 进入观察队列，等待行为信号（解析上线、内容出现） |
| P4 误报/合法 | 确认非恶意 | 品牌方防御性注册、合法经销商、停放页无仿冒内容 | 归档并加入白名单（防重复告警） |
处置映射的合规约束：对外部域名的"阻断/下线"类动作必须经由有权主体（域名投诉举报处理平台、注册商、执法机关）执行，监测方输出的是证据与建议，而非直接处置权。P3升P2、P2升P1的升级条件须写入SOP，防止误报升级导致的合法站点误伤。
02 · 多维评分卡
2.1 评分维度
| 维度 | 信号示例 | 信号强度 |
|---|---|---|
| 域名相似度 | 第2页融合分、手法类型、变体位置（品牌核心段） | 中-强 |
| 注册特征 | 创建时间（24h内新注册强信号）、批量注册痕迹、注册商风险画像 | 中 |
| 证书特征 | 证书与已知恶意证书共用SAN/CA模式、通配符滥用、证书时间窗与注册时间耦合 | 中-强 |
| 基础设施关联 | NS/IP与已知恶意基础设施重叠、Sinkhole记录、被动DNS历史 | 强 |
| 内容视觉 | 第4页视觉分、表单字段、OCR品牌词、钓鱼工具包指纹 | 强 |
| 外部情报 | URLhaus/PhishTank命中、厂商TI标签、搜索引擎安全警告 | 强 |
| 反向证据（减分项） | 品牌方防御性注册列表命中、停放域名、长期无恶意行为记录 | 反向 |
2.2 评分卡样例（教学模板）
domain: example-vip-login.com # 示意域名
scores:
similarity: {value: 0.91, weight: 0.20} # 融合相似度（第2页）
registration: {value: 0.80, weight: 0.15} # 24h内新注册
certificate: {value: 0.35, weight: 0.10} # 新CA、独立证书
infra: {value: 0.70, weight: 0.20} # NS与已知恶意NS重叠
content: {value: 0.00, weight: 0.20} # 未上线，暂无内容
intel: {value: 0.00, weight: 0.15} # 无外部命中
penalty: {value: 0.00} # 反向证据扣分
total: 0.60 # → P3观察队列
verdict: P3
note: 待解析上线后自动复评内容维度03 · 证据融合方法
三个阶段的融合方法演进：
- 阶段一：加权线性融合——可解释、可审计，适合冷启动与合规审查；缺点是无法表达信号间的条件依赖（如"新注册+高相似"的联合强度高于两者线性之和）。
- 阶段二：贝叶斯/逻辑回归——以历史判例为训练集，输出概率化置信度，天然支持"反向证据"；要求标注集规模与质量（见第7页方法学）。
- 阶段三：D-S证据理论——适合多源异构证据（域名/证书/内容/情报）的合成与冲突表达，可输出"不确定度"维度，与威胁情报领域的置信度分级实践（GB/T 36643-2018置信度字段）对齐。
与威胁情报体系的对齐：判定结论以GB/T 36643-2018威胁信息格式输出时，应携带：攻击指标（域名/URL/证书哈希）、可信度字段、有效时间范围、来源标记（本系统判定/外部情报）、处置建议。这使域名层判定可直接流入学院威胁情报研究专题的共享管道（MISP/STIX 2.1）。
04 · 置信度校准与复核质量
4.1 概率校准
模型输出的"0.8置信度"必须在统计意义上等于"80%确为仿冒"（校准概念见Guo et al., ICML 2017）。校准方法：等宽分箱（histogram binning）或Platt缩放（逻辑回归拟合验证集）。校准不良的典型症状：模型过度自信（预测概率普遍高于实际命中率），导致人工复核资源错配。
4.2 人工复核质量度量
- 抽检一致率：资深分析师对机器判定抽检（如P2以上10%抽样），计算Cohen's Kappa（≥0.75为优良，经验目标值）；
- 升级准确率：P3→P1升级的确认率（目标≥90%，经验目标值）；
- 漏报复盘：外部情报回流（URLhaus/PhishTank事后收录）与本系统历史评分的对照审计，定位召回缺口并反哺特征工程。
05 · 误报治理专项
| 误报类型 | 成因 | 治理措施 |
|---|---|---|
| 停放域名 | 批量注册未启用、广告停放页 | 解析特征识别（parking IP/NS列表）+内容判定"无仿冒"自动降权 |
| 防御性注册 | 品牌方自己注册的常见变体 | 建立防御性注册白名单（与品牌方安全部门对接确认） |
| 合法近似域名 | 合资公司、经销商、缩写惯例 | 商标库+企业关系图谱反向验证 |
| CDN/短链共用 | 同IP/同域名下多租户 | 按完整主机名/路径判定，不凭IP单独升级 |
| 历史恶意已修复 | 域名被处置后转售/复活为合法站 | 判定结论带有效期（GB/T 36643时间范围字段），到期复评 |
06 · 判定案例走查（教学示例）
以下两个案例为方法演示用虚构示例，域名与数值均为示意，用于说明评分卡的实际使用方式，不指向任何真实主体。
6.1 示例一：从候选到P1的升级链路
某金融品牌（示意品牌名"示例银行"）监测管道于10:15捕获事件：CT日志出现新证书，SAN含"shili-bank-vip.com"（示意域名）。系统动作：①域名层——相似度融合分0.89（组合手法+品牌核心词命中），注册时间显示24小时内新注册，注册特征维度0.80；②取证层——该域15分钟后解析上线，拉取页面三件套：title为"示例银行网上银行-安全升级"，favicon哈希与官方一致，表单字段序列与官方登录页高度重合；视觉层dHash初筛命中官方登录页基准指纹；③判定层——内容维度0.92、基础设施维度0.70（NS与一周前已判定仿冒的域同簇）、外部情报维度2小时后URLhaus收录同域。评分卡总分0.87，且"表单凭据窃取"行为已复现，升级为P1确认仿冒，触发证据包固化与通报流程。
6.2 示例二：反向证据驱动的P4归档
候选域"shili-bank-activity.com"（示意域名）进入队列：域名相似度0.85、注册特征0.60（新注册）。取证层发现该域命中品牌方防御性注册白名单（与品牌方安全部门季度对账清单一致），页面为官方活动预告页，证书由品牌方官方CA账号签发。反向证据触发自动降权，判定P4归档并写入白名单，后续事件不再告警——避免同一防御性域名反复消耗复核人力（对应§05"历史恶意已修复/防御性注册"治理项）。
走查要点：示例一说明"单项强信号不足以定级，行为复现+基础设施关联+外部情报的合成证据链才是P1标准"；示例二说明"反向证据与白名单对账是误报治理的第一道自动化闸门"。两例共同体现四级判定的工程含义：不是分数游戏，而是证据链完整性管理。
本节参考来源（第5页）
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（置信度与有效时间字段）
C. Guo et al., "On Calibration of Modern Neural Networks"（ICML 2017，置信度校准）
J. Cohen, "A Coefficient of Agreement for Nominal Scales"（1960，Cohen's Kappa）
G. Shafer, "A Mathematical Theory of Evidence"（1976，D-S证据理论）
URLhaus（滥用URL共享项目）：urlhaus.abuse.ch；PhishTank：phishtank.org