01 · .CN域名滥用类型体系
1.1 双轴分类：国际四分法 × 国内治理标签
| DAAR四分法 | 定义（依ICANN DAAR方法论文档） | 国内治理对应标签 |
|---|---|---|
| 钓鱼 Phishing | 支撑伪装成可信实体（银行、电商等）页面的域名，用于窃取凭据与个人信息 | 涉诈、仿冒（金融机构/政务/品牌）、侵权 |
| 恶意软件 Malware | 托管或传播未经用户许可安装的敌意软件的域名 | 恶意程序传播、木马下载源 |
| 僵尸网络C2 Botnet C&C | 用于控制僵尸网络主机的域名，含DGA生成域名与Fast-flux基础设施 | 远控基础设施、黑产通信通道 |
| 垃圾邮件 Spam | 大量未经请求邮件正文中宣传的域名及垃圾邮件投递基础设施域名 | 垃圾营销、诈骗信息投递 |
双轴设计的原因：国际四分法保证可比性，国内标签保证与《反电信网络诈骗法》《互联网域名管理办法》等治理话语的衔接。一个域名可同时携带两类标签（如“钓鱼+涉诈”），统计时四分法互斥、标签法可叠加。
1.2 恶意注册与被攻破的区分
DAAR方法论文档明确承认：多数RBL输入源不区分“恶意注册的域名”与“被攻破后利用的合法域名”，而这两种情形对应的治理动作完全不同（前者注销/暂停解析，后者通知注册人修复）。本课题将其列为必填研判字段，判别依据包括：注册命名意图（仿冒特征）、注册到滥用的时间间隔、内容与注册人历史的一致性、被滥用期间的主体行为等。
02 · 识别方法分层漏斗
2.1 低基率问题的工程应对
- 精度优先的级联阈值：在低基率场景中，单层模型的“高召回”会产生不可承受的误报量，采用级联阈值逐层收紧；
- 负反馈闭环：复核不通过的样本必须在24小时内回流为标注样本，防止模型漂移；
- 对抗监测：攻击者会针对公开特征（如品牌词表）做规避变体，规则库与特征集按月对抗演练更新（与子课题03/04的方法复用）。
03 · 单域名研判SOP
| 步骤 | 动作 | 要点 |
|---|---|---|
| S1 | 证据归集 | 调取证据子图：注册记录（脱敏）、解析历史、证书记录、情报源命中明细、快照与样本（如有） |
| S2 | 活体验证 | 沙箱访问核验页面内容（隔离环境、合规授权），确认钓鱼/恶意行为仍在发生 |
| S3 | 类型判定 | 按双轴分类打标；判定“恶意注册/被攻破”；评估危害面（仿冒对象级别、传播量） |
| S4 | 置信度定级 | 高（直接处置）/中（补证后处置）/低（观察名单）；记录判定理由 |
| S5 | 处置发起 | 按渠道流转：CNNIC处置接口/注册服务机构工单/成员单位通报，全程计时 |
| S6 | 结果回填 | 处置结果、申诉复议、复发情况回填图谱；样本入库 |
时效预算：S1—S4合计目标≤4个工作小时（高危件≤1小时）；S5起进入TTR计时（见第2页§03）。S2活体验证须在隔离环境执行，禁止用办公网络直接访问疑似恶意站点。
04 · 聚类与团伙发现
单点处置治标，团伙打击治本。基于知识图谱（第3页§04）的聚类研判：
- 基础设施指纹聚类：同NS集合、同IP段（/24或CDN出口聚合）、同证书（共享SAN或同issuer同时段批量签发）；
- 注册行为聚类：同注册服务机构、注册时间聚集（分钟级批量）、命名模板相似（编辑距离/字符熵分布，子课题05方法复用）；
- 时序关联：“注册→证书→解析→上线”各环节时间窗关联，还原campaign搭建流水线（子课题02交叉验证方法）；
- 输出形态：威胁簇报告（簇规模、基础设施清单、建议处置范围），支持“整簇处置”请求与证据包生成。
05 · 置信度分级与处置动作映射
| 置信度 | 判定标准 | 处置动作 |
|---|---|---|
| 高 | 活体验证确证 + 双源情报 corroboration | 立即发起处置（暂停解析/注销梯度选择），同步通报仿冒对象单位 |
| 中 | 单源强情报或规则高评分，活体证据不完整 | 补证时限24小时；补证期间列入重点监测，解析侧临时降权建议 |
| 低 | 仅统计特征异常 | 观察名单，纳入周度复评，不发起处置 |
注：具体处置措施与权限以CNNIC处置规则及有权机关决定为准；本表为研判内部的流转建议，不构成行政处置决定。
06 · 跨源交叉验证规则库
- 时序规则：“注册后72小时内申请品牌相似证书”——CT与注册数据交叉，为本课题最高价值规则之一（子课题02方法迁移）；
- 状态冲突规则：“注册状态正常但NS指向已知 sinkhole/黑产托管”——注册数据与解析情报冲突即高危；
- 身份一致性规则：备案主体（脱敏指纹）与历史处置记录冲突（曾被处置主体重新注册）——复发预警；
- 情报一致性规则：≥2独立情报源命中且类型一致，置信度自动上调一级；单源命中类型互斥（如同时标“钓鱼”与“C2”）触发人工优先复核。
07 · 研判质量管理
- 双人复核：高危处置件100%双人复核；月度抽检中低危件5%回溯；
- 误判救济衔接：与CNNIC申诉复议机制（警告/暂停解析/注销各环节的申诉与复议通道）对接，复议成立的案例进入规则负反馈；
- 度量指标：复核通过率、处置维持率（处置后经申诉仍维持的比例）、情报源贡献度（第2页§03）月度评审，连续低质情报源执行汰换。
本节参考来源（第4页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
ICANN DAAR方法论文档（2017年11月30日）：四类安全威胁定义；RBL输入源不区分恶意注册与被攻破域名的声明。方法论文档。
中国信通院《互联网域名产业报告（2024年）》转引DAAR数据：2023年12月gTLD滥用域名约52.2万个、占比0.24%——低基率环境下识别难度与漏斗设计的国际参照。报告页。
CNNIC注册局.CN/.中国不良应用域名处置规则公开通知：处置梯度（警告→暂停解析→注销）与申诉、复议机制（经注册服务机构渠道公开发布，见CNNIC官网相关公告）。
《中华人民共和国反电信网络诈骗法》（2022年12月1日施行）：涉诈治理法定依据；对域名注册、解析环节的治理要求见第二章。
Antonakakis et al., “From Throw-Away Traffic to Bots: Detecting the Rise of DGA-Based Malware”（USENIX Security 2012）：低基率场景下DNS异常检测的经典框架（本子课题03详述）。
Holz et al., “Measuring and Detecting Fast-Flux Service Networks”（NDSS 2008）：基础设施聚类特征的学术源头（本子课题04详述）。
《互联网域名管理办法》（工信部令第43号）与信管〔2017〕264号文：实名制核验与域名核验“三步法”，支撑“身份一致性规则”的合规基础。
APWG Phishing Activity Trends Report系列：钓鱼类型与目标行业分布的国际统计口径。apwg.org/trendsreports。