01 · 指标体系设计原则
指标体系是态势感知的“度量衡”。设计不当的指标比没有指标更危险——它会给出错误的安全感或制造虚假的恐慌。本课题确立五项设计原则：
- 科学性：每个指标须有明确定义、分子分母口径、统计时间窗与数据来源，可被第三方复算；概念性口号（如“安全形势总体平稳”）不得作为指标。
- 可比性：核心指标与DAAR、APWG等国际口径建立映射关系，支持.CN与gTLD生态、不同注册服务机构之间的横向对照（映射表见§06）。
- 可获取性：指标所需数据必须在合规前提下可稳定获取；对暂时不可得的数据，明确标注为“规划指标”而非用估算值冒充实测值。
- 时效性：区分实时指标（分钟—小时级，用于告警）、运营指标（日/周级，用于工单）、战略指标（月/季度级，用于报告），分层设定刷新频率。
- 防博弈性：参照Tranco（NDSS 2019）对抗榜单操纵的方法论思想，指标设计须预防“为指标而优化”的博弈行为（如处置后快速重新注册刷低复发率）。
设计红线：凡不能以“数据来源、口径公式、更新频率、责任主体”四要素完整定义的，不得进入正式指标体系；凡涉及注册人个人信息的，一律使用聚合与去标识化口径。
02 · 指标分层框架
借鉴情报分层的战略—战役—战术—技术四级模型（与本专题首页“情报分层”卡片对应），.CN域名安全指标按“回答什么问题”分为四层：
2.1 各层指标与消费方
| 层级 | 刷新频率 | 典型指标 | 主要消费方 |
|---|---|---|---|
| 技术层 | 分钟级 | 域名风险评分、证书-注册时序差、解析异常标记 | 管道系统、SOC自动化 |
| 战术层 | 日/周级 | 新增告警量、复核通过率、情报源命中率TOP榜 | 值守分析师、运营主管 |
| 战役层 | 月/季级 | 滥用密度P_ab、TTR-P50/P90、注册商水位四分位 | 成员单位、行业主管部门 |
| 战略层 | 年度 | 滥用类型谱系变迁指数、国际对标偏差度、治理ROI估算 | 治理决策层、年度报告读者 |
03 · 核心指标定义
3.1 战役层核心指标（八项）
| 指标 | 口径公式 | 说明与对标 |
|---|---|---|
| 滥用类型分布 | 各类型滥用域名数 ÷ 滥用域名总数 ×100% | 类型按钓鱼/恶意软件/僵尸网络C2/垃圾邮件四分（对齐GAC北京公报），国内口径另增“涉诈”标签维度 |
| 滥用密度（万分率） | 当期在册滥用域名数 ÷ 当期可解析.CN域名总数 ×10000 | 对标DAAR的P_ab（百分率）；本课题采用万分率以提升低基数下的分辨率，报告中同时给出百分率便于国际对照 |
| 新注册高危占比 | 当期新注册域名中被判高危的数量 ÷ 当期新注册总量 ×100% | 衡量“入口水质”，与子课题05前置预警联动；分母来自注册管理数据 |
| 处置时效 TTR | 确认时间→处置完成时间，报P50/P90分位数 | 按“投诉渠道”“监测渠道”分列计时；超时工单自动升级（见第5页） |
| 复发率 | 被处置域名主体（按脱敏主体指纹）180天内再次出现的比例 | 衡量处置的“根因消除”程度；须防重新注册博弈（换模板规避指纹） |
| 注册商安全水位 | 各注册服务机构滥用密度的分位数排名与四分位差 | 参照DAAR注册商维度；用于差异化监管与帮扶，排名仅内部使用 |
| 证书密度 | 当期.CN域名持有有效证书的比例及证书/域名比 | 输入来自子课题02的CT监控管道；衡量加密化进程与证书滥用面 |
| 情报源贡献度 | 各情报源命中且复核通过的数量占比 | 用于RBL输入源的质量评估与汰换（对应ICANN 2024年6月公告的输入源敏感性） |
3.2 公式使用规范
- 分母唯一性：“可解析域名总数”以注册管理数据与解析测量交叉确认为准，每月锁定一次基线；禁止用注册总量替代可解析量（两者差距可达两位数百分比）。
- 去重规则：滥用域名计数按FQDN去重；同一域名命中多源情报只计一次，但保留源标签用于贡献度分析。
- 时间窗：密度指标用“期末在册”口径；趋势分析用“月度中位数”口径（对齐DAAR月报做法，平滑单日波动）。
计算示例（示意数据，非实测值）：设某月.CN可解析域名总数为2000万（分母经注册数据×解析确认交叉锁定），当月期末在册滥用域名（FQDN去重、复核通过）为4000个，则当月滥用密度 = 4000 ÷ 20,000,000 × 10000 = 2.0‱（万分之二），折合DAAR百分率口径为0.02%。若同月处置时效TTR-P50为6小时、P90为72小时，则该月战役层指标卡片记为：密度2.0‱、TTR 6h/72h。本例仅演示口径运算方法，不构成对.CN实际滥用水平的任何估计或暗示。
04 · 统计方法与口径治理
4.1 关键统计决策
- 中位数优于均值：DAAR月报采用月度中位数以抗离群值扰动，本课题战役层指标同法采用；战略层年度指标允许使用均值并标注。
- 活跃性定义：“活跃滥用域名”须满足“在观测窗内出现于任一情报源且在窗口末端仍可解析或仍可访问”双条件，避免把已自然消亡的域名计入当期水位。
- 恶意注册 vs 被攻破：参照DAAR方法论文档的诚实声明——RBL数据多数不区分二者，本课题将其列为独立研判字段（见第4页§05），密度指标默认混合口径并附注比例。
- 置信区间：抽样复核类指标（如复核通过率）须给出95%置信区间；小样本注册商（分子<5）不作水位排名，标注“样本不足”。
4.2 口径变更管理
口径变更（如分母口径调整、情报源汰换）必须走“版本化变更流程”：变更申请→影响评估（回溯重算至少12个月）→双轨并行一期→正式切换。ICANN 2024年公告揭示的RBL输入源政策变化导致DAAR统计跳变，即是口径治理重要性的国际实证——本课题要求任何指标跳变须在报告中以“口径因素/真实因素”两栏拆解说明。
反虚构声明：本节所有公式与阈值均为方法论定义；在未完成基线测量前，本课题不设任何“目标值/基线值”的具体数字承诺。凡涉及.CN实际滥用水平的数值，须待数据底座建成并经一个完整季度观测后，以正式报告发布——在此之前引用任何具体数字均属不严谨。
05 · 基线建立与目标值设定
- 第一步（冷启动）：以数据底座上线后第1个完整自然月为T0基线，记录八项战役层指标初始值与分布形态，不做优劣判断。
- 第二步（稳定性检验）：连续3个月计算环比与滚动3月均值，识别季节性（如电商大促期钓鱼高发）与噪声水平，确定控制图上下限。
- 第三步（目标设定）：仅对“过程指标”（TTR、复核时效、情报源贡献度）设定改善目标；对“结果指标”（滥用密度）仅设“不劣于基线且持续披露”的底线目标，避免数字博弈。
- 第四步（国际校准）：以DAAR同期货料为参照带（而非单点），评估.CN密度处于参照带的相对位置；gTLD与ccTLD制度差异导致的结构性偏差单独说明。
06 · 国际口径映射表
| 本课题指标 | DAAR/APWG对应口径 | 映射说明与偏差处理 |
|---|---|---|
| 滥用密度（万分率） | DAAR P_ab（百分率） | 纯倍数换算；偏差来自分母（DAAR用区域文件可解析域名，本课题用注册管理数据×解析确认）与输入源差异 |
| 滥用类型分布 | DAAR四类威胁拆分 / APWG攻击类型统计 | 钓鱼、恶意软件、僵尸网络C2、垃圾邮件直接对应；APWG含更广的“crimeware”分类，映射时按其子类归并 |
| 处置时效TTR | （DAAR不度量处置，其官方文档明确声明） | 无国际直接对标；可参考APWG成员实践与ccTLD社区披露个案，报告中如实说明此项为“国内特色指标” |
| 新注册高危占比 | DAAR“新注册滥用域名”月度累计计数 | DAAR为计数，本课题为比率；分母差异（DAAR以RBL出现即计，本课题以复核通过计）须在附注中声明 |
| 涉诈标签维度 | （国际口径无直接对应） | 对齐《反电信网络诈骗法》治理需求，作为扩展标签叠加于四分法之上，不替代国际四分法 |
07 · 指标治理与审计
- 元数据登记：每项指标在平台中登记“定义版本、最近变更、责任人”，对外发布数字自动附口径版本号。
- 可复算性审计：季度抽样10%的指标值，由未参与生产的人员用原始数据独立重算，偏差>1%即触发调查。
- 披露分级：公开版报告（聚合口径）/成员单位版（含注册商水位）/内部版（含个案明细）三级分发，边界写入数据共享协议。
本节参考来源（第2页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
ICANN《The Domain Abuse Activity Reporting (DAAR) System Methodology Document》（2017年11月30日）：P_ab定义、区域文件分母口径、“DAAR不度量处置”的声明。方法论文档。
ICANN DAAR月度报告样本（2023年12月）：月度中位数口径、滥用密度约0.19%（1114个gTLD平均）的呈现方式。daar-monthly-report-31dec23-en.pdf。
ICANN公告（2024年6月7日）：RBL输入源测量基础设施与政策变化导致DAAR报告数量上升——口径治理重要性的实证。icann.org公告。
中国信通院《互联网域名产业报告（2024年）》：DAAR 2023年12月滥用域名约52.2万个、占gTLD注册总量0.24%、同比下降20.9%；ICANN Domain Metrica新系统规划。报告页。
Tranco研究导向域名排名（NDSS 2019）：抗操纵的榜单方法论思想，用于指标防博弈设计参照。tranco-list.eu。
GB/T 36344-2018《信息技术 数据质量评价指标》：数据质量维度框架（完整性、准确性、时效性、一致性等），支撑数据底座质量门槛（详见第3页）。
GAC北京公报（2013年4月11日）：确立新gTLD合同中的安全威胁义务，列明钓鱼、恶意软件、僵尸网络三类（垃圾邮件后由DAAR扩展纳入）。见ICANN DAAR方法论文档引用。
APWG《Phishing Activity Trends Report》系列季度报告：钓鱼趋势国际口径参照。apwg.org/trendsreports。