01 · 国际参照：DAAR六年治理周期的启示
1.1 已验证的公开事实时间线
| 时间 | 事件（均有公开出处） |
|---|---|
| 2017-11-30 | ICANN OCTO-SSR发布DAAR方法论文档，确立P_ab滥用百分比与RBL输入源框架 |
| 2018年 | DAAR系统建成并开始积累数据 |
| 2019-02 | DAAR发布首批月度报告（数据自2018年1月起） |
| 2019—2023 | 全球gTLD滥用密度总体呈下降趋势（信通院历年域名产业报告转引） |
| 2023-12 | 滥用域名约52.2万个、占gTLD注册总量0.24%、同比下降20.9%（信通院《互联网域名产业报告（2024年）》） |
| 2024-02起 | DAAR报告的滥用域名数量明显上升；2024-06-07 ICANN公告确认主要原因为RBL输入源的测量基础设施与政策变化（如Spamhaus扩展列入名单）而非“互联网突然变得更危险” |
| 2024—2025 | ICANN推进Domain Metrica新系统，以替代DAAR中基于区域文件的老旧基础设施 |
1.2 对本课题的三点启示
- 指标会“说谎”，口径必须辩护：同一套系统，输入源政策变化即可让滥用数跳升——.CN态势报告必须固定口径版本并披露输入源变更（第2页§04的实证依据）；
- 长期主义：五年量级的密度下降说明“持续度量+合同义务+社区协同”的治理组合有效；态势感知是马拉松而非冲刺；
- 基础设施会老化：DAAR启动仅数年即需重建数据底座——本课题数据架构必须为指标口径演进预留能力（第3页§02版本化设计）。
02 · 国内治理体系案例：实名制与投诉处置的制度化
2.1 制度演进（公开文件）
| 时间 | 制度节点 |
|---|---|
| 2009-12 | CNNIC国家域名投诉处理中心开通在线举报（jubao.cnnic.cn，电话010-58813000）——.CN处置通道的制度起点 |
| 2017-11-01 | 《互联网域名管理办法》（工信部令第43号）施行：确立域名注册真实性核验与实名制要求 |
| 2018-01-01 | 工信部信管〔2017〕264号文施行：建立“域名核验三步法”（顶级域已批复、境内注册服务机构注册、域名未过期），与ICP备案系统联动 |
| 2022-12-01 | 《反电信网络诈骗法》施行：域名注册、解析环节治理获得专门法支撑 |
| 持续运行 | CNNIC注册局SLA月报机制按月公开注册服务运行质量；处置规则含“警告→暂停解析→注销”梯度及申诉复议通道（经注册服务机构渠道公开发布） |
2.2 治理特征解读
.CN治理体系的独特性在于“实名核验+备案联动+注册局处置梯度”三位一体：实名制保证主体可追溯，264号文核验三步法保证“未核验不接入”，处置梯度保证违法成本可递增且提供救济。对态势感知而言，这套制度提供了gTLD生态不具备的两项数据资产——注册人真实性标签与结构化处置记录（含申诉复议结果），二者直接支撑第2页“注册商安全水位”与“处置维持率”指标。
03 · 类型化案例A：仿冒金融机构钓鱼Campaign
案例性质说明：本节为类型化综合案例（Typified Composite Case）：基于APWG趋势报告公开描述的钓鱼生态共性特征与公开执法通报中反复出现的作案模式整理，不含任何单一真实案件的可识别细节与未公开数据；时间线与数值均为示意，用于演示研判方法而非陈述事实。
3.1 Campaign生命周期解构（示意）
| 阶段 | 攻击侧行为（公开研究中的常见模式） | 感知侧应对（对应本课题章节） |
|---|---|---|
| 筹备期 | 批量注册仿冒变体域名（品牌词+冠词/同形异义/IDN形似） | 新注册流实时评分+品牌词库监测（第4页§02漏斗前置层；子课题05画像） |
| 武装期 | 为域名申请免费DV证书（ACME自动化，分钟级完成） | CT日志分钟级发现（子课题02管道）；“注册→证书”时序规则触发（第4页§06） |
| 传播期 | 短信/即时通信投递钓鱼链接，利用加密锁标降低戒心 | 情报源命中+投诉涌入；P1告警；活体验证确认仿冒对象（第4页§03 S2） |
| 收敛期 | 域名被处置后快速换壳（同模板新注册） | 威胁簇整簇处置+复发率指标观测（第4页§04；第2页§03复发率） |
3.2 复盘要点
- 关键胜负手在筹备期与武装期：注册到证书的时间窗是本课题最可前置拦截的环节（国际研究共识：钓鱼域名从注册到上线通常以小时—天计）；
- 加密不是“作恶许可”：82%钓鱼站点启用SSL（APWG 2021 Q2）意味着证书检测是必要而非充分条件，必须与注册行为、解析特征联合研判；
- 整簇处置价值：单域名处置平均生命周期内损失已发生；基础设施指纹聚类使“一次发现、批量打击”成为可能。
04 · 类型化案例B：批量注册与DGA基础设施
案例性质说明：同上，类型化综合案例。DGA机制与检测方法源自公开学术文献（Antonakakis et al., USENIX Security 2012；DGArchive, ACSAC 2018），不包含具体家族的可操作参数。
- 威胁形态：僵尸网络通过算法每日生成大量候选域名，仅注册当日所需少数（“domain fluxing”）；防御难点在于生成空间远大于防御方监测能力；
- .CN场景的特殊性：实名注册与审核成本使DGA家族对.CN的利用相对克制，但“少量注册+被攻破域名复用”混合模式仍需警惕——这正是双轴分类中“恶意注册/被攻破”判别字段的价值（第4页§01）；
- 感知应对：新注册流的字符熵/n-gram实时评分（子课题03模型迁移）、sinkhole NS特征识别、解析低流行度+高失败率组合规则；
- 处置要点：DGA域名多为“即用即弃”，处置时效要求最高——P1分级与整簇证据包（第4页§04）直接服务此类场景。
05 · 处置闭环复盘模板（AAR）
每个P1/P2处置事件在T+7内完成复盘卡，结构如下：
| 模块 | 内容要点 |
|---|---|
| 时间线还原 | 注册/证书/解析/传播/发现/研判/处置各环节时间戳，标注各环节耗时与等待点 |
| 发现渠道评价 | 首报来源（监测/投诉/情报/成员单位）；若监测晚于外部发现，分析管道缺口 |
| 研判质量 | 置信度定级是否恰当；证据链是否完整；SOP deviation记录 |
| 处置与救济 | 梯度措施选择依据；申诉复议情况；处置维持率 |
| 复发与扩散 | 180天窗内复发观测；同簇域名后续活动；仿冒对象损失反馈 |
| 改进项 | 规则/模型/词库/流程的变更建议，明确责任人与期限 |
06 · 经验与教训总结
- 制度资产要用足：.CN的实名与备案联动体系是gTLD生态不具备的“数据特权”，态势感知应把核验状态、处置记录结构化为指标而非仅作个案参考；
- 口径诚实是国际通行证：DAAR六年的信誉建立在方法透明与口径披露上——.CN年度报告只有经得起“复算与追问”，才能获得对标资格；
- 类型化案例的纪律：公开材料中的具体数字往往不可比（统计时点、覆盖范围各异），本课题对外仅使用可溯源数字，教学与培训采用明示标注的类型化案例——这一纪律本身即专业性的一部分。
本节参考来源（第6页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
ICANN DAAR方法论文档（2017年11月30日）与月度报告（2019年2月起）；ICANN公告（2024年6月7日）：icann.org/octo-ssr/daar。
中国信通院《互联网域名产业报告（2024年）》：DAAR 2023年12月数据（52.2万个/0.24%/同比-20.9%）与Domain Metrica规划。报告页。
新华网（2009年12月24日）：《中国国家域名投诉处理中心正式运行》——在线举报与举报电话开通情况（中国互联网协会转载）：isc.org.cn/article/7233.html。
《互联网域名管理办法》（工信部令第43号，2017年11月1日施行）；工信部信管〔2017〕264号文（2018年1月1日施行）——域名核验“三步法”公开全文见工信部/网信办官网。
CNNIC注册局.CN/.中国不良应用域名处置规则公开通知（含警告/暂停解析/注销梯度与申诉复议）——经注册服务机构渠道公开发布，见CNNIC官网相关公告栏。
APWG《Phishing Activity Trends Report》Q2 2021（82%钓鱼站点启用SSL）：docs.apwg.org；APWG趋势报告总入口：apwg.org/trendsreports。
Antonakakis et al.（USENIX Security 2012）：DGA检测经典框架；DGArchive（ACSAC 2018）：dgarchive.caastuff.net。
《中华人民共和国反电信网络诈骗法》（2022年12月1日施行）：涉诈域名治理与线索移送的法律依据。