01 · 工具与数据源生态
| 工具/数据源 | 用途 | 说明 |
|---|---|---|
| CNNIC统计报告（半年期） | .CN规模、网民、IPv6等宏观基线 | 第57次报告2026年2月发布；历史报告均公开可查 |
| CNNIC域名投诉举报处理平台 | 投诉通道与处置协同 | jubao.cnnic.cn；2009年12月开通在线举报 |
| CNNIC注册服务SLA月报 | 注册服务运行质量参照 | cnnic.com.cn/Operations/SLA，逐月公开 |
| ICANN DAAR月报 | 国际滥用密度对标 | icann.org/octo-ssr/daar，2019年2月起月度发布 |
| APWG趋势报告 | 钓鱼生态国际口径 | apwg.org/trendsreports，季度发布 |
| crt.sh / CT日志 | 证书检索与CT管道开发参照 | Sectigo运营；静态日志见c2sp.org/static-ct-api |
| IANA根区数据库 / RDAP Bootstrap | TLD注册局与RDAP端点发现 | iana.org/domains/root/db；data.iana.org/rdap/dns.json |
| Tranco / DGArchive | 测量抽样框架与DGA基准 | tranco-list.eu；dgarchive.caastuff.net |
| ICANN CZDS | gTLD区域文件（对标参照用） | czds.icann.org，需申请 |
| 12321 / 12377 | 垃圾信息/违法信息举报线索 | 网络不良与垃圾信息举报受理中心；违法和不良信息举报中心 |
| GB/T 36643-2018 | 威胁情报结构化封装 | 《信息安全技术 网络安全威胁信息格式规范》 |
02 · 最佳实践十条
- 1. 先口径、后平台：指标定义评审通过前不启动可视化开发，防止“大屏先行”的路径依赖；
- 2. 数据缺口要示众：管道中断与质量问题在报告中显性标记，缺口本身也是态势的一部分；
- 3. 处置可救济：任何处置动作接入申诉复议通道，处置维持率与复议成立率双指标考核；
- 4. 情报源多源互证：单一RBL源不得直接触发处置；源质量月度评审、末位汰换；
- 5. 新注册流优先：“入口水质”治理收益大于存量打捞，管道资源按此排序；
- 6. 簇级打击常态化：凡具备基础设施指纹的告警，默认输出簇报告而非单点工单；
- 7. 机器不签发结论：报告结论段人工撰写、双人签发，AI辅助全程留痕；
- 8. 对抗演练制度化：半年一次受控红蓝演练，用“被攻击者评分”检验感知盲区；
- 9. 国际对标带口径：引用任何国际数据必附来源链接与口径说明；
- 10. 度量治理本身：指标可复算审计与口径版本管理纳入季度例行工作。
03 · 六步实施路线
从立项到年度报告的六个里程碑
建议总周期12个月，各步有明确出口标准
说明：周期为建议值；每一步出口标准未达成不进入下一步，宁可延期不放水。
04 · 组织与人员配置建议
| 角色 | 建议配置 | 职责 |
|---|---|---|
| 态势运营负责人 | 1 | 口径签发、报告签发、对外协同第一责任人 |
| 值守分析师 | 3-4（轮班） | 告警研判、工单流转、活体验证 |
| 数据工程师 | 2 | 管道、质量门禁、图谱与指标计算 |
| 检测工程师 | 1-2 | 规则/模型维护、对抗演练、特征平台 |
| 合规与联络 | 1（可兼） | 数据合规、申诉复议对接、成员单位协调 |
05 · KPI度量体系
| 类别 | KPI | 性质 |
|---|---|---|
| 时效类 | TTR-P50/P90、P1研判达标率、报告发布准时率 | 越高/越短越好，硬考核 |
| 质量类 | 复核通过率、处置维持率、情报源贡献度达标数 | 区间考核，防刷分 |
| 覆盖类 | 新注册流评分覆盖率、CT发现延迟P90达标、测量覆盖率 | 硬门槛，未达即降级模式 |
| 改进类 | AAR改进项按期完成率、对抗演练盲区收敛数 | 过程考核 |
注：不将“滥用密度绝对值”设为KPI——环境性指标不可归因于团队，设为观测项而非考核项（第2页§05目标设定原则的落实）。
06 · 上线检查清单
- □ 八项战役层指标定义经评审签发，口径手册v1.0归档
- □ 六源管道贯通且质量门禁连续30天达标
- □ 处置流转接口（CNNIC处置通道/注册服务机构工单）联调通过
- □ 申诉复议对接流程书面确认，处置维持率可计算
- □ P1/P2告警分级阈值经值守演练校准
- □ 数据分级与访问审计上线，合规自查首检完成
- □ 降级模式与故障切换演练通过（RTO≤2小时验证）
- □ 月报模板试生产一期并人工复核通过
- □ 国际对标数据台账建立（来源链接、口径、时点三要素齐全）
- □ 年度报告编制框架经指导单位确认
07 · 结语：让国家域名安全“可测量、可比较、可行动”
.CN域名安全态势感知的最终形态，是一张经得起追问的数字底账：每一个数字都能回溯到原始证据，每一次处置都能在时效曲线上找到位置，每一份年度报告都能与国际同侪同台比较。本八页文档给出的不是答案，而是一套完整的“提问—度量—验证”方法论；真正的基线数字，将在数据底座上线后的第一个完整季度由观测产生——那才是本课题第一份诚实的答卷。
本节参考来源（第8页）
以下均为真实可查的权威来源（CNNIC官方报告、ICANN官方文件、工信部规章、IETF标准、权威研究报告），用于支撑本页事实性表述；引用数据均已核对原始出处。
[2]
CNNIC域名投诉举报处理平台：jubao.cnnic.cn；CNNIC注册服务SLA月报：cnnic.com.cn/Operations/SLA。
[3]
ICANN DAAR：icann.org/octo-ssr/daar；APWG趋势报告：apwg.org/trendsreports。
[5]
Tranco：tranco-list.eu；DGArchive：dgarchive.caastuff.net；ICANN CZDS：czds.icann.org。
[6]
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》：威胁情报结构化封装国家标准。
[8]
NIST SP 800-61 Rev.2：事件响应分级框架参照；中国信通院《互联网域名产业报告（2024年）》年度产业基线参照。