01 · 研究背景与意义
1.1 命名空间的两次爆炸：从22个到1200+
在2012年ICANN新通用顶级域名（New gTLD）计划启动之前，全球互联网根区仅有22个通用顶级域名。2012年轮计划共收到1,930份申请、涵盖1,409个独特字符串；据ICANN官方项目统计页面（持续月度更新），截至目前已签署注册管理机构协议1,250余份，其中1,241个新gTLD已写入根区开始运营。据Verisign旗下DNIB.com《域名行业简报》2026年第二季度报告，全球域名注册总量已达4.016亿个，环比增长2.3%，同比增长8.1%。命名空间的爆炸式扩张直接放大了品牌保护面：每一个新后缀，都是攻击者可以低成本注册的又一类"品牌变体"。
与此同时，国际化域名（IDN）让非拉丁文字首次大规模进入DNS。ICANN统计显示，已入根的新gTLD中IDN类后缀90余个（含阿拉伯文、中文、西里尔文等多文字种）。中文互联网是IDN应用的全球最大单一市场：据CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月发布，数据截至2025年6月），我国域名总数为32,623,785个，其中".CN"域名20,854,955个、"．中国"中文域名164,301个、新通用顶级域名（New gTLD）3,175,089个。中文域名在降低网民使用门槛的同时，也带来了简繁变体、全角字符、汉字形近字等独特的仿冒攻击面。
1.2 攻防成本的高度不对称
仿冒域名的注册成本极低：部分新gTLD首年注册促销价低至1—2美元，批量注册还有进一步折扣；而品牌方为防御需要在数百个后缀上做防御性注册，成本相差数个数量级。Interisle Consulting《Phishing Landscape》系列研究发现（据公开转述），注册价格不高于2美元的27个TLD占据了滥用比例最高的位置；新gTLD仅占全球域名市场约12%的份额，却贡献了约51%的"恶意注册型"钓鱼域名——即域名本身就是为作恶而注册，而非攻陷合法网站后滥用。这一结构性特征意味着：新gTLD与中文域名滥用治理的重心必须前置到注册环节与注册商/注册局环节，而不仅是事后的页面检测与拦截。
1.3 与迪妙反钓鱼业务的直接关联
迪妙网络空间安全学院长期深耕反钓鱼研究与演练。域名层是钓鱼攻击的第一入口：无论是仿冒"工商银行"的中文域名、利用西里尔字母拼写的"аpple.com"式同形异义攻击，还是在廉价新gTLD上批量注册的"brand-verify.top"式钓鱼域名，最终都要落到一个可注册的域名上。本子课题与课题一的"仿冒域名监测识别"、课题二的"域名抢注与拼写错误检测"形成互补：课题一侧重拉丁字母空间的相似度算法，本子课题则聚焦新gTLD空间的滥用经济学与中文/IDN空间的字符层混淆两大特色方向，并将成果直接转化为攻防演练沙盘中的中文域名钓鱼场景。
核心科学问题：（1）如何在海量新注册域名中，以可接受的误报率实时发现针对中文品牌与中文域名的仿冒注册？（2）如何系统性地度量并利用IDN同形异义字符的混淆风险，建立覆盖"字符—字形—域名—行为"四层的一致检测方法？（3）如何在跨境、跨注册商、跨注册局的复杂治理结构中，构建合规且高效的处置闭环？
02 · 研究目标与关键问题
2.1 研究目标
- 摸清家底：建立新gTLD与中文域名的命名空间全景数据基线（规模、结构、价格带、滥用率），形成可持续更新的数据看板（第1、2页）。
- 吃透机制：系统解析IDN技术体系（Punycode、IDNA2003/2008、UTS #46）与浏览器显示策略差异，厘清混淆攻击的完整技术链条（第3页）。
- 建成方法：构建覆盖字符层、字形层、域名层、行为层的同形异义检测方法体系，并给出可复现的工程实现（第4页）。
- 跑通闭环：设计"数据源—监测—判定—处置—情报输出"的数据工程流水线与跨境协同处置SOP（第5、7页）。
- 实证检验：以国际公开经典案例与中文场景沙盘复盘验证方法有效性，沉淀教训清单（第6页）。
- 落地转化：形成系统架构、指标体系与六步实施路线图，并与学院攻防演练业务对接（第8页）。
2.2 三个关键研究问题
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | IDN混淆的系统性度量 | 同形异义字符对成千上万且随字体变化，如何建立与字体、渲染环境无关的、可自动计算的混淆度模型，并与注册局标签生成规则（LGR）衔接？ | 第3—4页 |
| KQ-2 | 海量新注册域名的时效与误报平衡 | 全球每日新增注册域名以十万计，监测必须在"分钟级发现"与"可运营误报率"之间取得平衡，变体生成与索引结构如何设计？ | 第2、5页 |
| KQ-3 | 跨境跨主体的处置协同 | 新gTLD注册局分布在全球，恶意注册常发生在境外廉价注册商，如何通过UDRP/CNDRP、ICANN合同机制与CNNIC平台形成实际可达的处置闭环？ | 第6—7页 |
03 · 命名空间与中文域名全景
3.1 顶级域名分类体系
| 类别 | 说明 | 典型代表 |
|---|---|---|
| 传统gTLD | 1980年代至2011年间设立的通用顶级域名，共22个 | .com .net .org .info .biz .name .pro .aero .asia .cat .coop .edu .gov .int .jobs .mil .mobi .museum .post .tel .travel .xxx |
| 新gTLD | 2012年ICANN新gTLD计划及后续轮次入根的后缀，官方统计已入根1,241个 | .shop .top .xyz .app .online .site .club .vip，以及品牌类（如．商标对应后缀）、社区类、地理类 |
| ccTLD | 国家/地区代码顶级域名；据DNIB 2026Q2，根区共316个ccTLD扩展（含IDN ccTLD），注册总量1.486亿 | .cn .de .uk .ru .tk .jp；IDN ccTLD如．中国（xn--fiq228c） |
| IDN TLD | 国际化顶级域名，含IDN ccTLD（经快速通道或后续流程）与IDN新gTLD；官方统计已入根IDN新gTLD共90余个 | .中国（ccTLD）；.网址 .在线 .中文网 .公司 .网络（新gTLD）等 |
据DNIB.com《域名行业简报》2026年第二季度报告（2026年7月23日发布）：截至2026年6月30日，全球域名注册总量4.016亿个；其中".com"域名基数1.666亿个、".net"1,250万个；ccTLD注册总量1.486亿个，同比增长3.6%；注册量前十的ccTLD依次为.cn、.de、.uk、.ru、.nl、.br、.fr、.au、.in、.eu，前十合计占全部ccTLD注册的约57%。.cn是全球注册量最大的国家代码顶级域名。
3.2 中国域名市场结构（CNNIC官方口径）
据CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月21日发布，数据截至2025年6月30日），我国域名总数3,262万个，分类结构如下：
| 分类 | 数量（个） | 占比/备注 |
|---|---|---|
| .CN（国家域名） | 20,854,955 | 占域名总数63.9%，为全球第一大ccTLD；其中.cn纯后缀13,371,369个，.com.cn 3,890,172个，.net.cn 1,066,242个，.org.cn 940,167个，.gov.cn 12,241个，.edu.cn 6,871个 |
| .COM | 6,941,539 | 外资企业与国际业务主力后缀 |
| New gTLD | 3,175,089 | 占比约9.7%，是仿冒与滥用监测的重点空间之一 |
| .中国（IDN ccTLD） | 164,301 | 中文国家域名，简体"中国"与繁体"中國"互为变体，Punycode为xn--fiq228c |
| .NET / .INFO / .ORG | 550,368 / 35,045 / 19,992 | 传统gTLD |
| 其他 | 882,496 | 含其他ccTLD与后缀 |
3.3 ICANN 2026轮新gTLD申请：命名空间的下一轮扩张
ICANN已于2026年4月开启新一轮新gTLD申请窗口（2026 Round），并于2026年8月关闭，共收到超过1,600份申请（最终数量以ICANN官方公布为准）；其申请人支持计划（ASP）在2025年12月19日窗口关闭时共收到78份申请，其中56个实体获得支持资格。新一轮若按预期再增数百个后缀（业界预测申请费约20万—27万美元/个），命名空间的防御面将进一步扩大，品牌监测与滥用治理的工作量将成倍增长。本子课题的全部方法体系按"可扩展至数千个后缀"的目标设计。
04 · 八页研究框架与阅读路径
本子课题按"全景认知 → 滥用机制 → 技术底座 → 检测方法 → 数据工程 → 实证检验 → 治理合规 → 落地转化"的逻辑组织为八页，建议按页序阅读；第3页的IDN技术体系是第4页检测方法的公共语言基础。
05 · 核心研究内容总览
| 编号 | 研究内容 | 要点 | 展开位置 |
|---|---|---|---|
| B1 | 命名空间滥用度量 | 新gTLD/IDN TLD的规模、价格带与滥用率相关性，恶意注册与被攻陷的结构性差异 | 第1—2页 |
| B2 | IDN技术体系与混淆机理 | Punycode、IDNA版本差异、浏览器显示策略、根区标签生成规则（LGR） | 第3页 |
| B3 | 同形异义检测方法体系 | 四层检测模型、skeleton算法、中文形近字与简繁全角处理、检测质量评估 | 第4页 |
| B4 | 监测数据工程 | 多源数据采集、归一化流水线、大规模相似度索引、数据合规 | 第5页 |
| B5 | 案例实证 | 国际经典案例复盘、中文场景沙盘推演、滥用态势统计与教训清单 | 第6页 |
| B6 | 治理与落地 | 国内外处置机制、SOP、系统架构、指标体系与实施路线图 | 第7—8页 |
06 · 常见认知误区与术语辨析
| 误区/混淆 | 辨析 |
|---|---|
| "含xn--的域名都是恶意的" | 错误。"xn--"仅是Punycode前缀，表示该标签含非ASCII字符。慕尼黑市的"münchen.de"合法编码为"xn--mnchen-3ya.de"，中文"短"编码为"xn--s7y"。恶意与否取决于解码后的字符是否构成混淆，而非前缀本身。 |
| "IDN本身就是安全漏洞" | 错误。IDN是DNS国际化的必要机制，漏洞出在"不同字符视觉不可区分"这一Unicode固有问题上，以及部分客户端显示策略不完善。应精确表述为"IDN引入了同形异义（homograph）混淆风险面"。 |
| "新gTLD都是低质量/滥用温床" | 错误。新gTLD内部高度分化：.app（强制HTTPS）、.bank/.insurance（金融类严格审核）等治理良好；滥用集中于少数低价、低审核门槛的后缀。治理应按后缀的风险画像差异化施策，而非一刀切。 |
| "中文域名天然防钓鱼，因为中国人看得懂" | 错误。中文域名的仿冒面从"拉丁字符相似"转为"汉字形近字、简繁变体、全角字符、拼音谐音"，且中文用户的URL阅读习惯（极少细读地址栏）可能放大风险。 |
| "浏览器会保护用户，检测不重要" | 错误。浏览器仅在"混合文字种"等启发式规则触发时显示Punycode；2017年Zheng案例后Chrome 58+已对"整词同形西里尔"域名回退Punycode，但字体级形近字、其他文字种同形及各端版本差异仍存在盲区，且邮件客户端、移动端、App内WebView的保护普遍弱于桌面浏览器（详见第3页§05、第6页案例一）。 |
| "注册了.中国就等于完成了中文品牌保护" | 错误。中文品牌仿冒可同时发生在拉丁空间（icbc.com.cn的拼写变体）、IDN空间（形近汉字域名）与新gTLD空间（icbc-bank.top），需三空间协同监测。 |
6.1 核心术语速查
| 术语 | 释义 |
|---|---|
| gTLD / 新gTLD | 通用顶级域名/经ICANN新gTLD计划入根的后缀（2013年起陆续启用） |
| IDN / Punycode | 国际化域名（含非ASCII字符）/其ASCII兼容编码（RFC 3492），以"xn--"前缀标识 |
| IDNA2003 / IDNA2008 | 国际化域名应用的两代标准：前者基于RFC 3490—3492与Stringprep（RFC 3454），后者基于RFC 5890—5894；两者对ß、ς等少数字符处理不同，UTS #46用于桥接 |
| Homograph / Homoglyph | 同形异义现象/形近字符：不同码位但视觉近似的字符（如西里尔а U+0430与拉丁a U+0061） |
| UTS #39 / UTS #46 | Unicode安全机制（含混淆字符数据confusables与skeleton算法）/IDNA兼容映射处理规范 |
| RZ-LGR | ICANN根区标签生成规则（Root Zone Label Generation Rules），定义各文字种允许进入根区的合法标签及变体关系 |
| CZDS / RDAP | ICANN集中式区域数据服务（申请后可获取gTLD区文件）/注册数据访问协议（RFC 7480—7489），WHOIS的后继 |
| UDRP / CNDRP | 统一域名争议解决政策（ICANN，1999）/CNNIC国家顶级域名争议解决办法 |
07 · 研究边界与合规声明
合规与伦理声明：①本课题全部技术路线以防御为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》与《反电信网络诈骗法》（2022年12月1日起施行）；②涉及WHOIS/RDAP等注册数据的采集与处理遵循数据最小化原则，遵守GDPR等域外数据保护法规对注册数据展示的限制；③课题涉及的验证性实验仅在本院授权的沙箱环境内开展，所有中文场景"案例"均为教学推演并明确标注，不虚构真实受害事件；④对ICANN、CNNIC政策与统计数据的引用均标注原始出处，统计口径以官方原文为准；⑤文中攻击手法仅用于理解威胁与构建防御，不提供可直接复用的攻击实现。
08 · 预期成果与交付物
- 《新gTLD与中文域名滥用研究报告》（八页全文，含数据基线与文献溯源）；
- 中文域名混淆风险检测规范（字符层/字形层/域名层/行为层四层方法及参考实现）；
- 新gTLD/中文TLD滥用监测数据源清单与接入指引（CZDS、RDAP、CT日志、CNNIC公开数据等）；
- 跨境处置SOP与渠道对照表（注册商、UDRP/URS、CNDRP、CNNIC平台、12321）；
- 中文域名钓鱼演练沙盘场景（对接学院攻防演练平台，衔接已有域名抢注演练场景）。
§ · 本节参考来源（第1页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
ICANN新gTLD项目官方统计页面：newgtlds.icann.org/en/program-status/statistics（已签署协议、已入根后缀及IDN分类统计，月度更新）
Verisign/DNIB.com《Domain Name Industry Brief》2026Q2（2026年7月23日）：全球域名总量4.016亿、.com/.net基数、ccTLD前十排名等——Verisign官方博客及DNIB.com报告页
CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月21日发布，数据截至2025年6月30日）：CNNIC官网（"研究报告"栏目下载报告全文）；发布消息另见新华社报道（2025-07-21）
ICANN 2026轮申请人支持计划（ASP）统计（2026年8月）：78份申请、56个合格实体——ICANN官方博客
Interisle Consulting《Phishing Landscape》系列报告（钓鱼域名滥用度量研究，2025年度报告）——interisle.net；本页引用的"低价TLD与恶意注册占比"数据为公开转述，建议以原文为准
ICANN Wiki关于2012轮申请数据（1,930份申请/1,409个独特字符串）与2026轮申请窗口的整理：icannwiki.org/Generic_Top-level_Domain