注册商、基础设施与归因集中度

01 · 托管与主机集中度

与注册环节类似，钓鱼内容的托管（hosting）也高度集中。Interisle《Phishing Landscape 2024》指出，被钓鱼者用于托管钓鱼攻击的前五大托管服务商中有四家位于美国，且其中一家美国公司单独承载了超过三分之一的全部钓鱼攻击。这种"少数托管商承载多数恶意流量"的结构，意味着针对头部托管商的Trusted Reporter快速暂停机制，能以较小成本取得较大治理收益。

1.1 云基础设施与 CDN 的"借白打黑"

与"防弹托管"相对，近年攻击者更多转向滥用声誉良好的云服务商与 CDN：利用对象存储静态托管、Serverless 页面、免费 TLS 证书与 DNS 代理服务，使恶意域名解析到高信誉 IP/ASN。这直接削弱了基于 IP 信誉与 ASN 封锁的传统手段——恶意内容"藏"在大量合法业务之间，简单封 IP 的误伤成本极高。

治理含义：识别粒度须从"IP/ASN"上移至"账户—域名"级，并要求云/CDN 厂商强化 abuse 流程与账户级快速处置。APWG 2026 年一季度报告的处置实践亦印证了这一转向：Fortra 在为客户的钓鱼下架处置中，联系最多的对象是头部防护/CDN 服务商——约 39% 的钓鱼站点使用了 Cloudflare 的 DNS 代理服务（用于隐藏真实托管位置）。

来源：APWG Phishing Activity Trends Report Q1 2026（Fortra 处置数据）。DNS 代理本身为合法服务，此处仅说明攻击者对该类服务的滥用趋势与治理粒度上移的必要性。

02 · 攻击基础设施关联分析

同一攻击者往往同时控制成百上千个域名，并刻意复用同一套底层资源。通过对多个维度做聚类，可将"离散的恶意域名"还原为"同一攻击者的资产池"，实现发现一个、关联一批、处置一批：

• NS 层：攻击者常使用自有或同一第三方的NameServer，按NS聚类可快速圈定同源域名群。
• IP/ASN 层：共享托管IP段或同一ASN的域名高度可疑，尤其当IP段与已知恶意活动重叠时。
• 证书层：Let's Encrypt等免费证书使攻击者易于为大量仿冒站点签发证书；共享签发者、相同主题 Alternative Name 模式可作为关联信号。
• 注册人层：注册邮箱、组织名、RDAP（原WHOIS）注册信息的一致性，是强关联证据，但需注意隐私代理（privacy/proxy）会弱化该维度。

03 · 抗下架技术：Fast-flux、防弹托管与 DGA

为延长存活、对抗封堵，攻击者采用多种"提高韧性"的技术：

04 · 归因与基础设施画像方法

基础设施关联的最终目的是归因（attribution）：判断多个恶意域名是否来自同一攻击者或同一犯罪团伙，并刻画其战术偏好。归因须遵循"多证据交叉、置信度分级"原则：

• 弱信号聚合：单一维度（如共用一个NS）不足以定论，须多个独立维度（NS+IP+证书+页面模板）共同指向才提升置信度。
• 置信度分级：参考威胁情报通行做法，将归因结论分为"低/中/高"置信度，并向处置方透明披露证据链，避免"过度归因"误导协同处置。
• 与子课题衔接：基础设施画像为子课题04（侵权域名处置与争议解决）提供"批量处置"的对象清单，为子课题01（监测识别）提供"同源扩展发现"的放大器，并为第7页（协同处置）提供"一次投诉、批量下架"的依据。

本节参考来源（第6页）

以下均为真实可查的权威来源；具体数值以原始出处最新版本为准。