01 · 法规政策框架
| 法规/政策 | 层级 | 与本课题的关系 |
|---|---|---|
| 《互联网域名管理办法》（工信部令第43号，2017年11月1日施行） | 部门规章 | 域名管理核心规章：注册实名制、注册管理机构/服务商职责、争议解决制度；本课题监测与处置的行政法基础 |
| 《反电信网络诈骗法》（2022年12月1日施行） | 法律 | 明确域名服务提供者对涉诈域名的管理责任，为涉诈仿冒域名快速处置提供法律依据 |
| 《网络安全法》《数据安全法》《个人信息保护法》 | 法律 | 监测数据全生命周期的合规框架；GDPR后国际域名数据遮蔽背景下的跨境数据合规 |
| 《关键信息基础设施安全保护条例》（2021年9月1日施行） | 行政法规 | 关基单位域名资产保护要求；仿冒关基域名属重点治理对象 |
| 域名注册实名制要求 | 行业制度 | 注册信息真实性核验，为滥用溯源提供制度基础 |
注：法规条文以国家正式公布文本为准；引用仅为研究定位说明，不构成法律意见。
02 · 处置通道体系
| 通道 | 受理主体 | 时效特征 | 适用场景 |
|---|---|---|---|
| 域名投诉举报处理平台 | CNNIC（tsi.cnnic.cn） | 快速通道 | 仿冒侵权域名的公众举报与协同处置 |
| 注册商/注册局滥用投诉 | 各注册服务机构 | 小时-天级 | 明确违反注册协议或法律的域名（钓鱼、恶意软件） |
| CNDRP争议程序 | CNNIC认可争议解决机构 | 周-月级 | 国家域名（.cn/.中国）恶意注册争议 |
| UDRP争议程序 | WIPO/NAF等 | 月级（WIPO统计约2-3个月） | gTLD恶意注册争议；权利确权型案件 |
| 行政执法与刑事报案 | 公安机关、网信部门 | 依程序而定 | 涉诈、涉刑案件；需完整证据链（第5页证据包） |
| 浏览器/安全厂商封禁 | 浏览器厂商、安全软件商 | 天级 | 消费侧防护止损，与技术处置并行 |
分层策略：仿冒域名生命周期以天-周计，而UDRP周期以月计——运营上应以"注册商通道+投诉举报平台"为主力、"浏览器封禁"为止损、以"CNDRP/UDRP/司法"为兜底。证据包质量（时间戳、解析记录、网页快照、证书链的完整固定）直接决定各通道的受理效率。
03 · 企业落地六步路径
面向计划自建仿冒域名监测能力的企业组织，建议按以下六步渐进落地（与威胁情报研究专题的落地实践框架对齐）：
3.1 KPI体系
| 指标 | 定义 | 参考目标（经验值） |
|---|---|---|
| MTTD（平均发现时间） | 仿冒域名注册/启用→系统告警的时间 | 核心品牌≤24小时，力争≤2小时 |
| P1精确率 | 确认仿冒判定中的真阳性比例 | ≥95%（避免误伤引发舆情） |
| 复核一致率 | 机器判定与资深分析师的一致度 | Kappa≥0.75 |
| 处置完成率 | 告警→域名下架/转移的闭环比例 | 分通道统计，月度跟踪 |
| 情报命中率 | 自有发现被外部平台事后收录的比例 | 越高说明发现能力领先情报源 |
3.2 建设路线图
| 阶段 | 建设重点 | 里程碑 |
|---|---|---|
| 0-3个月 | 品牌库+CT订阅+dnstwist类生成器+人工复核 | 核心品牌告警上线，MTTD≤24小时 |
| 3-6个月 | 融合评分模型+四级判定+注册商通道SOP | P1精确率≥95%，处置闭环跑通 |
| 6-12个月 | 视觉检测+基础设施聚类+情报共享对接 | 全手法覆盖，情报输出（MISP/STIX） |
04 · 局限性与发展方向
- 覆盖率局限：监测依赖数据源可见性——私有注册商通道数据、部分ccTLD封闭数据不可获得；检测是概率性而非完备性的。
- 对抗演化：生成式AI使仿冒页面制作成本趋零、视觉相似度逼近正品，感知哈希类方法的区分窗口被压缩；发展方向是引入多模态模型做页面语义级判定（同时保持规则层可解释性兜底）。
- 跨境治理：攻击者将域名注册在境外注册商、解析指向境外基础设施，处置依赖国际协同；发展方向是深化APWG等国际机制与国内通道的衔接。
- 隐私合规约束：GDPR后注册人信息遮蔽使溯源更依赖行为特征，需在"发现能力"与"合规边界"之间持续校准方法。
05 · 数据合规操作清单
依据《网络安全法》《数据安全法》《个人信息保护法》及域名数据相关管理要求，监测运营各环节建议执行以下可核查清单（按数据生命周期组织）：
| 环节 | 合规要点 | 可核查凭证 |
|---|---|---|
| 采集 | 数据源授权/AUP条款存档；遵守查询速率限制；不绕过WHOIS/RDAP遮蔽机制；爬虫遵守robots与目标站点条款 | 数据源协议与AUP存档清单、采集策略配置文件 |
| 存储 | 数据最小化（只存判定必需字段）；敏感字段（高管词、判定结论）加密与分级存储；境内存储优先，跨境评估先行 | 数据分类分级台账、存储加密配置审计 |
| 使用 | 判定用途限定；查询与导出最小权限（RBAC）；对外输出遵循GB/T 36643-2018格式并带有效时间范围 | 权限矩阵表、情报输出样本抽查 |
| 共享 | 情报共享协议明确用途与再分发限制；含个人信息或敏感运营数据的情报须脱敏或聚合后共享 | 共享协议存档、脱敏规则版本记录 |
| 留存与销毁 | 原始事件、证据包、日志分别设定留存期限；到期自动删除或匿名化；证据包因司法程序延长的留存须留痕审批 | 留存策略配置、销毁日志 |
| 审计 | 数据访问全量审计日志；季度合规自查与问题整改闭环；配合监管检查的资料一键导出能力 | 审计报告、整改工单记录 |
与学院研究体系的关系：本清单与威胁情报研究专题的数据治理要求对齐，确保域名层判定数据在跨专题流动（如进入数据可视化中心的统计口径）时全程可审计、可追溯。
全课题主要参考来源汇总
汇总各页引用，均为真实可查的公开来源。
工信部《互联网域名管理办法》（令第43号）；CNNIC国家域名管理体系：cnnic.cn
RFC 3492 / RFC 5890-5894（IDN/Punycode）；RFC 6962 / RFC 9162（证书透明度）；RFC 7482-7484（RDAP）；RFC 7484
Unicode Technical Standard #39（混淆字符检测）：unicode.org/reports/tr39
Gabrilovich & Gontmakher《The Homograph Attack》（2002）；Xudong Zheng PoC（2017）
Kintis et al.《Hiding in Plain Sight: Combosquatting Abuse》（CCS 2017）；Dinaburg《Bit-squatting》（DEF CON 19, 2011）
elceef/dnstwist；atenreiro/opensquat（开源工具）
Verisign DNIB；APWG Trends；威胁猎人2026H1报告；WIPO UDRP统计
GB/T 36643-2018；ICANN UDRP；CNNIC域名投诉举报处理平台（tsi.cnnic.cn）
Wang et al.《SSIM》（IEEE TIP 2004）；Charikar《SimHash》（STOC 2002）；Guo et al.《On Calibration of Modern Neural Networks》（ICML 2017）
F. Weimer《Passive DNS Replication》（FIRST 2005）；ICANN CZDS；crt.sh；Censys；urlscan.io；Tranco榜单