01 · 数据源全景
.CN态势感知的数据底座由六类来源构成，覆盖“注册—解析—证书—情报—处置”全生命周期：
| 数据源 | 内容 | 获取方式与依据 | 更新频率 |
|---|---|---|---|
| 注册管理数据 | .CN/.中国域名注册记录：注册时间、到期时间、状态、注册服务机构、NS、核验状态（不含对外公开的注册人个人信息明细） | 依托CNNIC国家域名注册管理职责；使用遵循最小化原则 | 日级增量 |
| 解析与活跃测量 | .CN域名可解析性、A/AAAA/CNAME记录、NS变迁、CDN归属 | 全网主动测量（合规速率、仅查询公共权威DNS） | 日级全量/小时级重点 |
| CT证书日志 | .CN域名相关证书的签发时间、CN/SAN、签发者、有效期 | 公开CT日志（RFC 6962动态日志与Static CT静态日志，详见子课题02/07） | 分钟级流式 |
| 投诉举报数据 | 国家域名投诉处理中心渠道（在线举报、电话、邮件）与成员单位通报 | CNNIC域名投诉举报处理平台；12321/12377等渠道线索 | 实时 |
| 威胁情报（RBL/IOC） | 国内外情报源列入的.CN恶意域名及类型标签 | 商业与开源情报源订阅（对齐DAAR输入源框架：Spamhaus、APWG、PhishTank、SURBL、abuse.ch等）；成员单位共享 | 小时级 |
| 处置与反馈记录 | 处置动作、处置时间、申诉与复议结果、解封记录 | 处置工单系统留痕；CNNIC处置梯度执行记录 | 实时 |
合规提示：注册管理数据的采集与使用须严格限定于法定职责与授权范围；涉及个人信息字段遵循《个人信息保护法》最小化与去标识化要求。RBL情报为第三方感知，存在滞后与误报（见第4页），不得未经复核直接作为处置依据。
02 · 数据底座总体架构
2.1 实体对齐的关键工程决策
- 主键定义：以“规范化FQDN”（小写、去尾点、U-label/A-label双形态存证）为唯一主键；.CN与.中国视为不同TLD命名空间分别建表，跨空间关联仅经备案主体维度（脱敏）进行。
- IDN处理：中文域名以A-label（xn--前缀）存储索引、U-label展示；同形异义字符（Homoglyph）检测在U-label层进行（与字体渲染安全相关，详见第7页§04）。
- 时序基准：全平台统一UTC+8业务时钟；跨源时间戳（注册时间、SCT时间、情报列入时间、处置时间）在关联时保留原始时区证据。
- “同一威胁”归并：同域名多情报源命中归并为单一威胁实体，保留全部来源标签；同主体多域名通过脱敏主体指纹与基础设施指纹（同NS/同IP段/同证书）聚类为“威胁簇”。
03 · 数据质量治理
参照GB/T 36344-2018《信息技术 数据质量评价指标》，对底座数据建立五维质量评分：
| 维度 | .CN态势感知中的操作化定义 | 稽核方法 |
|---|---|---|
| 完整性 | 当日应到数据到达率（如解析测量覆盖率、CT日志无缺口） | 对账（源计数 vs 入库计数）、断档检测 |
| 准确性 | 字段级抽检正确率（NS、状态、时间戳） | 抽样复核、跨源交叉验证 |
| 时效性 | 源事件时间→入库时间的延迟分布 | 延迟直方图监控、P90告警 |
| 一致性 | 跨源同一域名属性冲突率（如注册状态 vs 可解析状态） | 冲突队列、人工裁决记录 |
| 可联系性 | （针对投诉渠道）举报要素齐全率、可回访率 | 工单要素校验规则 |
- 质量门禁：任一维度低于阈值即触发“熔断”——暂停指标发布、标记数据缺口、启动补采；历史缺口在报告中以虚线呈现，禁止插值伪装连续。
- 质量周报：五维评分周度发布，连续劣化自动升级至数据负责人；质量分作为指标可信度的附注随报告披露。
04 · 域名安全知识图谱
在实体对齐之上构建轻量图谱，支撑团伙发现（第4页§04）与复盘分析：
- 节点类型：域名（.CN/.中国）、NS服务器、IP地址段、TLS证书、备案主体（脱敏指纹）、注册服务机构、威胁家族标签。
- 边类型：注册于（domain→registrar）、解析至（domain→IP）、使用NS（domain→NS）、持有证书（domain→cert）、同主体（domain↔domain，经脱敏指纹）、命中情报（domain→feed）。
- 存储选型：热数据（近90天）图引擎支撑交互式研判；冷数据列式存储支撑批量指标计算；图与表之间以域名主键双向索引。
- 可解释性要求：每条告警须能输出其证据子图（该域名如何被判定为恶意的完整链路），满足处置复核与对外通报的证据要求。
05 · 数据服务等级与监控
| 服务项 | 等级目标 | 说明 |
|---|---|---|
| 注册数据日增量可用 | 每日06:00前就绪 | 对齐CNNIC注册局SLA月报的公开机制精神（CNNIC按月发布注册服务SLA报告） |
| CT流处理延迟 | P90 < 30分钟 | 证书发现时效承诺（子课题02管道复用） |
| 指标发布 | 月度指标T+3工作日 | 含质量门禁通过与复核签批时间 |
| 数据保留 | 明细90天热存储/3年冷存储 | 遵循数据安全与最小化要求，到期依规处置 |
06 · 隐私保护与合规设计
- 最小化：底座不采集与态势目标无关的注册人明细字段；分析以“脱敏主体指纹”替代自然人标识。
- 分级访问：明细层仅处置复核岗位可及；指标层聚合到“注册服务机构/月度”粒度以上方可对外。
- 披露通道衔接：个案协查通过正规渠道进行（对gTLD可类比ICANN RDRS——注册数据请求服务，2023年11月28日试点上线，ICANN董事会2025年决定持续运行至2027年12月）；国内依《网络安全法》第28条等法定协查机制执行。
- 审计留痕：全部明细访问留痕审计，季度合规自查；对外共享须签订数据共享协议并做出境安全评估（如涉及）。
本节参考来源（第3页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
GB/T 36344-2018《信息技术 数据质量评价指标》：数据质量五维（完整性、准确性、时效性、一致性、可访问性等）框架。国家标准全文公开系统。
IETF RFC 5890-5892（IDNA 2008，2010年8月发布）：国际化域名框架、Punycode编码与应用规则；RFC 5891含对同形异义字的注册管理建议。RFC 5890。
IETF RFC 6962（2013）/ RFC 9162（2021）：证书透明度v1/v2，支撑CT日志数据管道；Static CT API（c2sp.org）为静态日志接入规范。RFC 9162、c2sp.org/static-ct-api。
ICANN DAAR方法论文档（2017年11月30日）：RBL输入源框架（Spamhaus、APWG、PhishTank、SURBL、Malware Patrol、abuse.ch等）及“情报源为第三方感知、存在方法论局限”的声明。
ICANN RDRS（注册数据请求服务）：2023年11月28日试点上线；ICANN董事会2025年10月30日决议持续运行至2027年12月。RDRS页面。
《中华人民共和国网络安全法》（2017年6月1日施行）第28条（网络运营者协助义务）；《个人信息保护法》（2021年11月1日施行）最小化与去标识化条款；《数据安全法》（2021年9月1日施行）数据分级保护制度。
CNNIC注册服务SLA月报（公开机制）：cnnic.com.cn/Operations/SLA，含逐月SLA报告发布记录。
CNNIC域名投诉举报处理平台：jubao.cnnic.cn（国家域名投诉处理中心2009年12月开通在线举报，新华网2009年12月24日报道）。