域名注册数据、解析数据与证书数据构成观察网络威胁的独特数据源。攻击者在建立钓鱼网站、C2基础设施时必须注册域名、申请证书、配置解析，这些行为在数据中留下可检测的痕迹。本课题以CNNIC国家域名注册管理数据为核心，融合RDAP注册信息、证书透明度（CT）日志、全网DNS测量与威胁情报IOC，构建域名数据治理与威胁监测体系，实现从"海量域名数据"到"可行动威胁情报"的价值转化。
域名是互联网空间的"门牌号"，注册数据则是这张门牌背后的档案。谁注册、何时注册、如何注册——这些元数据为威胁检测提供了独立于内容的前置信号。
域名注册数据（WHOIS/RDAP）是全球规模少有的、跨组织标准化的网络空间实体档案。据CNNIC第55次《中国互联网络发展状况统计报告》（2025年1月17日发布），截至2024年12月我国域名总数达3302万个，其中.CN域名2082万个、规模继续保持全球国家顶级域名第一；第56次报告（2025年7月21日发布）显示，截至2025年6月我国域名总数3262万个，其中.CN域名2085万个——如此量级的注册数据是威胁研究的基础矿藏。
注册数据体系正处于WHOIS向RDAP的历史性迁移中：IETF于2015年3月发布RFC 7480-7485系列确立RDAP标准，ICANN要求全部gTLD注册局与注册商于2019年8月26日前完成RDAP实施；GDPR生效（2018年5月25日）后，公开注册数据进入"Redaction+分级披露"时代。2025年1月28日，ICANN《Registration Data Policy》正式生效，WHOIS协议义务退出注册合同义务体系，RDAP成为唯一合规的注册数据访问通道——数据可得性与隐私保护的平衡始终是治理核心议题。
钓鱼域名、DGA域名、Fast-flux基础设施在注册环节即暴露特征：批量注册模板、短时集中注册、仿冒品牌命名、隐私代理滥用。在内容检测之前，注册数据提供了分钟级、低成本的前置发现手段——ICANN运营的域名滥用活动报告系统（DAAR）基于区域文件与信誉源数据度量DNS滥用集中度（钓鱼、僵尸网络C&C、恶意软件、垃圾邮件四类），支撑全球政策决策，并正被新一代ICANN Domain Metrica测量平台所取代。
依托CNNIC国家域名注册管理数据与公共互联网反网络钓鱼工作组成员单位网络，构建覆盖注册局、注册服务机构、接入服务商、安全厂商的协同处置链路：注册数据发现问题、注册管理定位主体、解析控制实施处置、情报共享反哺检测，形成"监测—研判—处置—复盘"闭环。
在进入具体子课题之前，有必要先厘清全球域名滥用治理的四块基石：注册数据政策的里程碑变革、以DAAR为代表的滥用度量体系、测量平台的代际演进，以及正在塑造下一代威胁的国际治理议程。
2025年1月28日，ICANN《Registration Data Policy》正式生效，取代基于WHOIS协议的多项临时规范与合同义务，RDAP成为访问注册数据的唯一合规通道。这是自1982年RFC 812（NICNAME/WHOIS前身）诞生以来，注册数据治理体系最大的一次制度性重构。
ICANN运营的域名滥用活动报告系统（DAAR）每日采集全部gTLD区域文件（主要经CZDS），与多个信誉源（RBL）比对，统计每百个已解析域名中处于滥用清单的域名数（Percentage of Abuse），按钓鱼、僵尸网络C&C、恶意软件、垃圾邮件四类输出注册局/注册商维度的滥用集中度，成为DNS滥用政策讨论的数据基石。
ICANN正在推进的域名测量平台项目Domain Metrica，目标是改进域名数据的采集、测量与分析方法，支持接入新数据源、新测量方法与新指标，提供面向域名及域名集合的多维度信息。ITHI（Identifier Technology Health Indicators）指标则从标识符技术健康角度为社区提供DNS安全威胁趋势分析。
标准化访问与披露系统（SSAD）政策建议迟迟未能落地：2026年3月12日ICANN董事会正式决定不采纳EPDP Phase 2的SSAD建议包，同时敦促GNSO在RDRS延长期（至2027年11月）内完成政策对齐。注册数据非公开披露仍处于"过渡态"，这正是注册数据治理研究的现实起点。
每个子课题均基于真实政策文件、技术标准与公开权威数据，形成可独立拓展的深度研究单元。点击卡片展开研究框架，可"进入课题详情页"深入阅读，或"收起卡片"收回。
研究WHOIS向RDAP迁移背景下的注册数据质量治理，覆盖RDAP协议栈与数据模型、注册数据质量评估体系、注册人身份核验机制、隐私保护与分级访问、中国域名实名治理体系五大方向，建立注册人身份核验、联系方式有效性验证与数据隐私保护（Redaction）的平衡机制。
基于CT Log全量日志开展恶意证书发现研究，覆盖品牌相关证书误签发监测、钓鱼证书快速识别与证书滥用模式分析，并与注册数据交叉验证实现"注册+证书"双信号溯源。
研究基于字符熵、n-gram模型与机器学习的DGA域名检测算法，覆盖词典型DGA、基于单词拼接的新型DGA等变种，结合DGArchive等公开数据集构建可复现的评测基准。
研究Fast-flux与Domain-flux网络的识别与追踪技术，通过解析时序特征与IP轮换模式还原攻击者基础设施，并与注册行为画像联动实现"基础设施—注册主体"双重溯源。
基于注册时间、注册商、模板字段等特征构建批量注册与恶意注册行为识别模型，实现恶意域名注册前置预警，并将画像结果转化为标准化威胁情报产品。
面向国家域名构建安全态势感知体系，输出.CN域名滥用类型分布、处置时效、注册商安全水位等核心指标，形成国家域名安全年度报告并向国际治理体系对标。
融合RDAP注册数据、CT日志、DNS测量、威胁情报等多源数据，基于统一域名实体标识构建关联分析底座，解决跨源数据实体对齐与口径一致性问题。
结合字符熵、n-gram统计特征与深度神经网络（CNN/LSTM）的混合检测模型，实现DGA域名与恶意基础设施的高精度识别与变种泛化。
基于解析记录时序采样与图分析技术，识别快速轮换的恶意基础设施并还原其控制网络，支撑"基础设施—注册主体"双重溯源。
建设证书透明度日志增量流处理管道，实现品牌相关证书分钟级发现、风险分级与"注册+证书"双信号交叉验证。
利用无监督学习对注册行为进行聚类与异常评分，发现批量恶意注册活动，实现恶意域名"注册即评估"的前置预警。
将检测结果转化为STIX/TAXII格式（国内对标GB/T 36643-2018）的标准化威胁情报，支撑成员单位自动化消费与联动处置。
汇聚RDAP注册数据、CT日志、全网DNS测量数据与多源威胁情报，基于Bootstrap机制与合规限速策略建立统一数据管道。
对多源数据进行实体对齐、去重、标准化与质量评估，参照GB/T 36344-2018建立质量指标，构建域名知识图谱。
基于图谱关联与机器学习模型，发现恶意域名、恶意证书与恶意基础设施，实现注册行为画像与前置预警。
将分析结果转化为分级分类的标准化威胁情报，推送至成员单位与处置平台，支撑自动化阻断。
汇总监测与处置数据，输出.CN域名安全态势感知报告与趋势研判，反哺数据治理优先级。
并非所有"域名数据"都能直接用于威胁研究。从原始记录到可支撑研判的情报，需要经过清洗、关联与上下文化的价值转化过程。
| 数据类型 | 说明 | 威胁研究用途 |
|---|---|---|
| RDAP注册记录RFC 7483 | 基于HTTP(S)与JSON的标准化注册数据，含实体、事件、状态、角色 | 注册人画像、批量注册识别、溯源取证 |
| WHOIS记录RFC 3912 | 传统43端口文本查询结果，.com/.net等仍为thin模式 | 历史数据衔接、跨源交叉验证 |
| CT日志RFC 6962 | 证书透明度日志全量记录证书签发行为 | 恶意证书发现、品牌误签发监测 |
| 区域文件 / 排名数据 | TLD区域文件（CZDS）、Tranco研究导向排名 | 域名生态基线、测量抽样框架 |
| DNS测量数据 | 全网解析遥测、Passive DNS、解析时序 | Fast-flux检测、基础设施追踪 |
| DGA家族库DGArchive | DGA生成域名的学术数据库，涵盖数十个家族 | 检测模型训练与评测基准 |
| 投诉与处置数据 | CNNIC域名投诉举报、ICANN合同合规记录 | 滥用类型分布、处置时效评估 |
域名数据与威胁监测并非"采集+检测"的简单叠加。以下四类挑战来自协议、法规、对抗与工程四个层面，构成本课题必须正面回应的研究问题。
GDPR生效后注册数据大规模Redaction，ICANN董事会2026年3月正式拒采SSAD建议包，RDRS仅约六成注册商自愿参与（据ICANN84会议公开信息），非公开注册数据的获取通道仍然碎片化。研究必须在合法合规前提下设计数据策略：优先聚合与去标识化数据、通过RDRS等正规渠道个案查询、明确留存期限与访问审计。
WHOIS时代遗留的格式不统一、字段缺失、隐私代理（Privacy/Proxy）遮蔽等问题延续到RDAP时代；不同RDAP服务端的thick/thin实现差异、jCard编码不一致、时区与事件语义偏差，使跨源实体对齐（同一注册人/同一基础设施的跨源归并）成为数据工程的第一道难关。
攻击者不断演化注册与解析策略对抗检测：单词拼接型与字典型DGA降低统计特征、Bulletproof注册商与隐私代理隐藏主体、IDN同形异义字符绕过品牌监测、CDN化Fast-flux混淆基础设施特征、大模型辅助生成"类人"域名绕过熵检测。检测模型必须建立持续评测与再训练机制，对抗概念漂移。
gTLD与ccTLD的合同义务不同、RDAP覆盖与成熟度参差（ccTLD多无合同约束）、.CN实名治理体系与gTLD隐私治理体系逻辑迥异，使跨TLD滥用集中度比较（DAAR式指标）在国家域名场景落地时必须重新校准口径。子课题06的态势感知指标体系正是针对这一问题的本土化设计。
域名注册数据是标准化程度最高的网络空间数据类型之一，IETF RFC与ICANN政策文件构成了全球注册数据治理的技术与规则基础。
RDAP查询格式与JSON响应语义规范（2015年3月发布），定义域名、实体、名称服务器、IP网络、自治系统号五类核心对象与事件、状态、角色模型，是注册数据机器可读化的基石。
RDAP服务引导机制，通过IANA维护的注册表（data.iana.org/rdap/dns.json等）将TLD/IP/ASN映射至权威RDAP服务端，实现全球RDAP服务的自动发现。
可扩展供应协议（Extensible Provisioning Protocol，2009年8月发布），注册服务机构与注册管理机构之间的标准数据供应通道，域名注册数据的"上游源头"。
WHOIS协议现行规范（2004年9月发布，其前身NICNAME/WHOIS可追溯至1982年RFC 812），43端口文本查询。至今仍是.com/.net等thin注册局数据查询的补充通道。
ICANN面向gTLD注册局与注册商的RDAP实施规范：2019年8月26日为实施截止日；新版gTLD RDAP Profile于2024年2月发布、2025年8月20日后实施；《Registration Data Policy》于2025年1月28日生效，WHOIS端口43义务退出合同义务体系。
《信息技术 数据质量评价指标》国家标准，定义数据质量评价维度与指标框架，为本课题注册数据质量治理提供本土化方法论锚点。
依托CNNIC及公共互联网反网络钓鱼工作组的资源优势，将域名注册数据方法体系应用于钓鱼治理核心场景，是本课题区别于一般域名研究的主要特色。
发现钓鱼域名后，通过RDAP/WHOIS注册记录、注册商、注册时间窗、名称服务器与模板特征快速定位注册主体与关联域名集群，将"单点处置"升级为"集群打击"。.CN域名依托CNNIC国家域名注册管理数据与实名核验体系，具备更高的主体可追溯性。
攻击者在钓鱼活动发动前往往批量注册仿冒域名。通过注册行为画像（时间集中度、命名模式、模板相似度、注册商分布）实现"注册即评估、高危即预警"，将治理时点从"钓鱼上线后"前移至"注册完成时"。
依托CNNIC域名投诉举报处理平台与注册服务机构体系，建立"监测发现—注册定位—解析处置—复盘通报"的.CN域名钓鱼处置闭环；对gTLD钓鱼域名，通过ICANN合同合规渠道与注册商滥用处置接口联动，形成境内外协同治理能力。
从1982年NICNAME到2025年RDAP时代全面确立，四十余年间注册数据治理完成了从"完全公开"到"隐私平衡"再到"结构化访问"的三次范式转移。
RFC 812首次定义NICNAME/WHOIS服务，注册数据自始即被设计为完全公开的互联网目录服务。
RFC 3912规范WHOIS协议文本格式；RFC 5730确立EPP作为注册数据供应的标准通道，注册数据进入机器可读化进程。
IETF于3月发布RFC 7480-7485系列，定义基于HTTP(S)+JSON的注册数据访问协议（RDAP）及其Bootstrap机制，取代文本格式的WHOIS成为技术演进方向。
5月25日GDPR生效，ICANN通过《gTLD注册数据临时规范》推行Redaction；EPAG诉ICANN案两级德国法院裁定确立数据最小化原则对注册数据收集的约束，注册数据公开性范式发生根本转变。
8月26日为ICANN要求的全部gTLD注册局与注册商RDAP服务实施截止日，RDAP完成全球gTLD部署。
11月28日，注册数据请求服务（RDRS）试点上线，为非公开gTLD注册数据请求提供标准化提交通道（注册商自愿参与）。
1月28日《Registration Data Policy》生效，WHOIS协议义务退出注册合同；7月21日CNNIC发布第56次统计报告，截至6月我国域名总数3262万个、.CN域名2085万个；10月30日ICANN董事会决议RDRS延至2027年12月运行。
3月12日ICANN董事会决议不采纳EPDP Phase 2的SSAD建议包，敦促GNSO在RDRS延长期内完成政策对齐，注册数据非公开披露机制进入新的政策协商周期。
跟踪域名注册数据领域的协议演进、政策变革与治理实践，以下事件均来自ICANN、IETF、CNNIC等权威机构的公开记录。
IETF WEIRDS工作组于2015年3月发布RFC 7480-7485系列确立RDAP标准；2019年8月26日为ICANN要求的gTLD RDAP服务实施截止日；2024年2月ICANN发布新版gTLD RDAP Profile（2025年8月20日后实施）；2025年1月28日《Registration Data Policy》正式生效，WHOIS端口43义务退出合同义务体系，注册数据访问正式从WHOIS时代迈入RDAP时代。
2018年5月25日GDPR生效，ICANN于2018年5月通过《gTLD注册数据临时规范》，要求注册商对自然人注册人数据实施Redaction。全球首例GDPR适用裁定——ICANN诉EPAG案：德国波恩地区法院（2018年5月30日）与科隆高等地区法院（2018年8月1日，19 W 32/18）均驳回ICANN强制收集管理/技术联系人数据的请求，确立数据最小化原则对注册数据收集的约束。
注册数据请求服务（RDRS）于2023年11月28日作为试点上线，为请求方与自愿参与注册商之间提供非公开gTLD注册数据请求的标准化通道。2025年10月30日ICANN董事会决议RDRS持续运行至2027年12月；2026年3月12日董事会进一步正式决定不采纳EPDP Phase 2的SSAD建议包，要求GNSO在延长期内完成政策对齐，非公开注册数据披露机制仍处于过渡态。
CNNIC第55次《中国互联网络发展状况统计报告》（2025年1月17日发布）显示：截至2024年12月，我国域名总数3302万个，其中.CN域名2082万个。第56次报告（2025年7月21日发布）显示：截至2025年6月，我国域名总数3262万个，其中.CN域名2085万个。海量注册数据为威胁监测研究提供了坚实的数据基础。
《互联网域名管理办法》（工业和信息化部令第43号，2017年11月1日施行）确立域名注册真实性核验与实名制要求；《关于规范互联网信息服务使用域名的通知》（工信部信管〔2017〕264号，2018年1月1日施行）建立域名核验与ICP备案联动机制，形成较为严格的域名实名治理体系，为.CN域名的威胁溯源提供了制度基础。
ICANN运营的域名滥用活动报告系统（DAAR）基于区域文件与多源信誉清单，对钓鱼、僵尸网络C&C、恶意软件、垃圾邮件四类安全威胁域名进行集中度量，按TLD与注册商输出滥用集中度指标并发布公开月度报告，已成为全球域名滥用治理政策讨论的数据基石。ICANN正在推进的Domain Metrica平台将进一步升级域名测量能力。
从"查询几个WHOIS"到"建成数据体系"，组织需要打通流程、合规、平台与协同四个层面。以下六步路径综合ICANN政策要求与国内治理实践整理，供规划参考。
梳理业务场景（反钓鱼溯源、品牌保护、威胁研究等）对应的数据字段需求，依据GDPR、《个人信息保护法》《数据安全法》完成合法性与最小化评估，明确"不采集什么"。
基于IANA Bootstrap实现RDAP服务端自动发现，配置合规限速与缓存策略；对.com/.net等thin场景保留WHOIS 43端口补充通道，建立采集日志与审计留痕。
参照GB/T 36344-2018建立完整性、准确性、时效性等维度的质量指标与抽样审计机制，实施实体对齐、去重与标准化，形成可信域名档案库。
将清洗后数据接入行为画像、DGA检测、Fast-flux追踪与CT交叉验证等分析管道，输出带置信度的域名风险评分与预警Feed。
对内联动DNS、邮件网关、代理执行阻断；对外通过CNNIC域名投诉举报处理平台、注册商滥用接口与成员单位情报共享机制实施协同处置。
以数据质量得分、预警命中率、溯源时长、处置时效为核心KPI持续度量体系价值，跟踪ICANN RDAP/SSAD政策演进与CNNIC治理要求变化，滚动校准。
本专题引用的政策、标准与数据均来自以下公开发布的权威来源，可按需查阅原始出处核实。
2015年3月发布，定义RDAP协议的HTTP使用、安全、查询格式、JSON响应、Bootstrap与国际化规范，是注册数据机器可读化的基石。
WHOIS协议现行规范、注册供应协议与证书透明度机制规范，构成本课题三大外围协议基础。
RDAP实施时间线（2019年8月26日实施截止）、2013版注册服务机构认证协议、注册数据请求服务（RDRS，2025年10月30日董事会决议延至2027年12月）、域名滥用活动报告系统DAAR及其方法论文档。
工业和信息化部令第43号（2017年11月1日施行）确立域名注册实名制；《关于规范互联网信息服务使用域名的通知》（2018年1月1日施行）建立域名核验与备案联动机制。全文可通过工业和信息化部官网查询。
截至2024年12月我国域名总数3302万个、.CN域名2082万个；截至2025年6月我国域名总数3262万个、.CN域名2085万个。
Tranco提供研究导向顶级域名排名；DGArchive为DGA测量研究（Plohmann等）的配套数据库；Holz等给出Fast-flux检测经典框架；Antonakakis等提出DGA检测经典方法。四者共同构成子课题03/04/05的学术基线。
欢迎注册管理机构、注册服务机构、安全厂商与研究机构加入域名数据与威胁监测研究体系，共建"注册数据—威胁情报—协同处置"的治理闭环。