01 · 研究背景与意义
1.1 国家顶级域名是国家网络空间的重要基础设施
国家顶级域名（ccTLD）是各国在互联网空间的主权标识与关键信息基础设施。中国的国家顶级域名包括“.CN”与中文国家顶级域名“.中国”，由中国互联网络信息中心（CNNIC）承担运行管理职责。与通用顶级域（gTLD）不同，.CN域名的注册管理处于我国法律框架与行业监管体系之内：注册实行实名制核验，注册服务机构须经工业和信息化部批复设立，域名使用与互联网信息服务许可（ICP备案）联动核验——这一制度特征决定了.CN域名安全治理具备“可定位主体、可依法处置”的独特优势，也决定了其态势感知体系必须同时回答“安全形势如何”与“治理效能如何”两个问题。
1.2 规模与全球地位：世界级域名治理样本
CNNIC《中国互联网络发展状况统计报告》长期跟踪显示，.CN域名规模长期位居全球国家顶级域名首位。第55次报告（2025年1月发布）：截至2024年12月，我国域名总数3302万个，其中.CN域名2082万个，“连续十年位居全球第一”；第56次报告（2025年7月发布）：截至2025年6月，域名总数3262万个，.CN域名2085万个，连续十一年位居全球第一；第57次报告（2026年2月发布）：截至2025年12月，我国域名总数3230万个，其中.CN域名2077万个、.中国域名16万个（.CN域名全球数量2159万个）。规模超过两千万的国家顶级域名，其安全态势感知本身就是世界级难题与样本。
1.3 安全威胁态势：加密化、自动化、批量化
三条国际公认的趋势对.CN域名安全构成直接压力：其一，钓鱼加密化——APWG 2021年第二季度趋势报告（PhishLabs贡献数据）显示82%的钓鱼网站启用SSL/TLS加密，免费DV证书与ACME自动化签发（RFC 8555）使“可信锁标”沦为廉价道具；其二，基础设施自动化——DGA（算法生成域名，参见本专题子课题03）与Fast-flux（参见子课题04）使恶意域名从“人工注册单点”演变为“程序批量产出”；其三，滥用可测性已获国际验证——ICANN域名滥用活动报告系统（DAAR）方法论显示：2023年12月，被识别涉及技术滥用（钓鱼、恶意软件、僵尸网络C2、垃圾邮件四类）的gTLD域名约52.2万个，占gTLD域名注册总量的0.24%（同比下降20.9%，数据来源：中国信通院《互联网域名产业报告（2024年）》转引DAAR数据）。这一量级虽不足1%，但在两千万级.CN域名存量上对应的是数万级潜在滥用域名，需要体系化监测而非个案响应。
核心科学问题：如何为两千万级规模的国家顶级域名构建一套指标科学、数据可信、处置闭环、国际可比的域名安全态势感知体系？本课题围绕四个关键问题展开：数据底座完整性（KQ-1）、指标口径科学性（KQ-2）、处置闭环时效性（KQ-3）、国内外对标可比性（KQ-4），详见第2—8页。
02 · 研究目标与关键问题
- 目标一（可测）：建立覆盖“滥用分布—密度水位—处置时效—复发水平”的.CN域名安全核心指标体系，全部指标定义唯一口径、可复算、可审计。
- 目标二（可比）：核心指标与国际主流口径映射（对标ICANN DAAR滥用百分比、APWG趋势报告），支持.CN与gTLD生态横向对照。
- 目标三（可处）：与CNNIC域名投诉举报处理、注册服务机构协同处置机制贯通，实现“发现—研判—处置—反馈”全链路计时与留痕。
- 目标四（可报）：形成季度态势简报与年度《.CN域名安全态势报告》的自动化生产能力，面向成员单位提供指标订阅。
2.1 四个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 数据底座完整性 | 注册管理数据、解析测量、CT日志、投诉与处置记录分属不同主体与系统，如何统一实体标识、时间基准与质量门槛，保证指标分母分子同源可信？ | 第3页 §01—§05 |
| KQ-2 | 指标口径科学性 | “滥用密度”如何定义分母（注册量/可解析量/活跃量）？如何区分恶意注册与被攻破的合法域名？口径选择如何影响跨期与跨境可比性？ | 第2页 §03—§04 |
| KQ-3 | 处置闭环时效 | 从发现到处置的每一环由不同主体执行，如何建立全链路时效分位数度量与超时升级机制，避免“发现快、处置慢”的空转？ | 第4页 §07 / 第5页 §04 |
| KQ-4 | 国内外对标可比 | DAAR以区域文件与RBL情报为基，国内以注册管理数据为基，两套基线如何映射？ccTLD自愿参与DAAR的机制对.CN有何借鉴？ | 第7页 §06 |
03 · 治理生态体系全景
| 参与方 | 在态势感知中的职责 | 依据/接口 |
|---|---|---|
| 工业和信息化部（行业主管部门） | 域名行业监管政策制定、注册管理机构/注册服务机构审批、域名核验与备案联动监管 | 《互联网域名管理办法》（工信部令第43号，2017年11月1日施行）；信管〔2017〕264号文 |
| CNNIC（.CN/.中国注册管理机构） | 国家域名注册管理、国家域名投诉处理中心运营（2009年12月开通在线举报，电话010-58813000）、处置梯度执行（警告→暂停解析→注销，含申诉与复议机制） | 域名投诉举报处理平台（jubao.cnnic.cn）；CNNIC注册局SLA月报机制 |
| 域名注册服务机构 | 注册真实性核验、注册数据质量、投诉受理与注册人通知、协助处置 | 第43号令实名制要求；ICANN 2013 RAA（对gTLD）中的核验义务可类比参照 |
| 接入服务商/IDC/CDN | 解析与 hosting 层面的协同断链、违法信息处置配合 | 《网络安全法》第47条；《反电信网络诈骗法》（2022年12月1日施行） |
| 安全厂商与威胁情报方 | 恶意域名情报供给（RBL/IOC）、误报复核支持 | 对标DAAR的RBL输入源框架（Spamhaus、APWG、PhishTank、 SURBL、abuse.ch等） |
| 国际治理体系 | 方法论对标与经验互鉴（DAAR、ccTLD自愿参与机制、GAC北京公报四类DNS滥用定义） | ICANN DAAR（2018年启动，2019年2月首发月报）；ICANN OCTO-SSR |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| 国家顶级域名（ccTLD） | 分配给各国家/地区的顶级域，由ISO 3166-1二位代码派生；.CN对应中国，另有中文IDN形式.中国 |
| 注册管理机构（Registry） | 负责顶级域注册数据库运行管理的机构；.CN/.中国的注册管理机构为CNNIC |
| 注册服务机构（Registrar） | 面向注册人提供域名注册服务的机构，须经主管部门批复设立 |
| DNS滥用（DNS Abuse） | ICANN语境下特指钓鱼、恶意软件、僵尸网络C2、垃圾邮件四类经域名实施的滥用（GAC北京公报） |
| 滥用百分比（P_ab） | DAAR核心指标：某TLD或注册商被RBL列入的滥用域名数 ÷ 其可解析域名总数 ×100（即“每百域名滥用数”） |
| 暂停解析（Hold/ServerHold） | 注册局层面将域名设置为停止解析状态，使其无法被访问；CNNIC处置梯度中的中间级措施 |
| 处置时效（TTR） | Time To Remediate：从威胁被确认到域名被处置的时间；态势感知按P50/P90分位数度量 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| “.CN域名实名注册，所以没有滥用” | 错误。实名核验提升的是可追溯性与事前威慑，而非消灭滥用。恶意注册人可使用虚假或他人身份信息通过核验，且大量滥用来自被攻破的合法域名。实名制是“治得了”的前提，不是“没有病”的证明。 |
| “滥用域名占比不足1%，无需体系化监测” | 错误。0.24%的gTLD参考密度对应两千万级.CN即数万级域名；且滥用集中度极高（DAAR早期报告显示少数TLD贡献大部分滥用），个案式响应无法覆盖批量攻击。 |
| “态势感知=可视化大屏” | 错误。大屏只是呈现层。态势感知的本体是“指标口径+数据底座+研判流程+处置闭环”的工程体系，缺少任何一环的可视化都是“数字装饰”。 |
| “处置量越大说明形势越坏” | 不一定。处置量受“监测能力提升”与“举报渠道热度”双重影响，应结合密度、时效、复发率联合解读——处置量上升而密度下降、时效缩短，恰恰可能是治理向好的信号。 |
| “RBL情报可以直接当作处置依据” | 风险极高。RBL存在方法论差异与滞后性（ICANN 2024年6月7日公告明确提示DAAR输入源政策变化会导致统计跳变），处置前必须经复核研判（第4页）。 |
05 · 研究范围与合规边界
- 对象范围：.CN与.中国国家顶级域名下的注册数据、解析数据、证书数据、投诉与处置数据；gTLD域名仅作对标参照，不展开。
- 治理边界：本课题产出为“态势感知方法论与指标体系”，不替代监管部门的行政认定；具体域名处置以CNNIC及有权机关依法作出的决定为准。
- 数据边界：涉及注册人个人信息的数据仅用于法定职责范围内的安全研究与处置支撑，遵循最小化与脱敏原则，不产出面向公众的注册人信息产品。
合规与伦理声明：①本课题全部内容以防御与治理为目的，严格遵守《网络安全法》（2017年6月1日施行）、《数据安全法》（2021年9月1日施行）、《个人信息保护法》（2021年11月1日施行）及《反电信网络诈骗法》（2022年12月1日施行）；②态势感知涉及的多源数据采集须遵守来源方服务条款与速率限制；③文中威胁手法仅用于理解与构建防御，不提供可直接复用的攻击实现；④对外发布的指标与报告采用聚合口径，不披露可定位到具体注册人或个案的敏感信息；⑤涉及国际机构的表述均基于其公开发布的文件与报告，不构成对任何机构的评价。
06 · 与课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 域名注册数据治理 | 注册数据质量直接决定态势指标分母的可信度；注册人核验与隐私分级机制决定数据可用边界 |
| 02 证书透明度日志监控 | CT提供证书签发时间线，支撑“.CN域名证书密度”“品牌相关证书发现时效”等态势指标 |
| 03 DGA域名检测 | DGA家族检测结果汇入“新注册高危域名”态势流；家族级分布进入年度报告威胁谱系章节 |
| 04 Fast-flux基础设施追踪 | Fast-flux网络识别结果为“基础设施型滥用”专项指标提供输入，反哺处置优先级排序 |
| 05 域名注册行为画像 | 批量注册识别结果支撑“注册商安全水位”与“新注册前置预警命中率”指标计算 |
07 · 预期成果与交付物
- 《.CN域名安全态势感知指标体系》规范文件（指标定义、口径公式、数据来源、更新频率、责任主体五要素齐全）
- 六源数据底座原型（注册管理数据、DNS测量、CT日志、投诉举报、威胁情报、处置反馈的统一实体对齐与质量稽核）
- 态势研判SOP与置信度分级规范（含误判申诉衔接机制，见第4页）
- 处置闭环时效度量看板与月度运营报告模板（见第5页）
- 《.CN域名安全态势年度报告》编制框架（章节结构、对标DAAR的国际比较方法、数据附表模板）
本节参考来源（第1页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
CNNIC第57次《中国互联网络发展状况统计报告》（2026年2月发布，数据截至2025年12月）：报告全文（PDF）。域名总数3230万个、.CN域名2077万个、.中国域名16万个、.CN全球2159万个。
CNNIC第55次/第56次《中国互联网络发展状况统计报告》（2025年1月/7月发布）：第55次报告“.CN域名2082万个、连续十年位居全球第一”；第56次报告“.CN域名2085万个、连续十一年位居全球第一”。官网：cnnic.cn。
ICANN DAAR系统说明与月报（2018年启动，2019年2月发布首批月报，回溯2018年1月起数据）：icann.org/octo-ssr/daar；方法论文档（2017年11月30日）：DAAR Methodology。
中国信通院《互联网域名产业报告（2024年）》：转引DAAR数据——2023年12月涉及技术滥用的gTLD域名约52.2万个、占gTLD注册总量0.24%、同比下降20.9%；DAAR监测的自愿参与ccTLD共22个。报告页。
《互联网域名管理办法》（工业和信息化部令第43号，2017年11月1日施行）；《关于规范互联网信息服务使用域名的通知》（工信部信管〔2017〕264号，2018年1月1日施行）。miit.gov.cn。
CNNIC国家域名投诉处理中心在线举报（2009年12月开通）：中国互联网协会转载新华网报道；处置梯度（警告/暂停解析/注销及申诉复议）见CNNIC注册局.CN/.中国不良应用域名处置规则公开通知。
ICANN公告《Recent Patterns Observed by ICANN's Domain Abuse Activity Reporting (DAAR) System》（2024年6月7日）：提示2024年2月起DAAR报告的滥用域名数量明显上升及RBL输入源方法论/政策变化影响。icann.org公告。
APWG《Phishing Activity Trends Report》Q2 2021：82%的钓鱼网站启用SSL加密（PhishLabs贡献数据）。docs.apwg.org。