01 · 端到端参考架构
承接第3页数据管道与第4页识别漏斗，本页给出从采集到度量的端到端工程架构：
端到端管道七环节
每环节标注关键SLO（详见§02）
说明：架构为通用工程参考，组件选型（消息队列/流处理/时序库）按组织规模调整（第8页§02）。
02 · 工程指标与服务水平目标
| 指标 | 定义 | 参考SLO |
|---|---|---|
| 采集新鲜度 | 解析发生→可查询的时延 | 被动≤1h；主动≤10min |
| 覆盖率 | 候选域名有有效观测的比例 | ≥99%（候选集内） |
| 告警时延 MTTD | 域名首次flux运行→告警产生 | 中位数≤6h（P95≤24h） |
| 领先量 | 告警时间早于公开Feed收录的时间差 | 对重点家族应保持正领先（天级） |
| 告警精确率 | 人工复核确认的告警占比 | 可运营阈值由团队容量定（建议≥30%起步，逐季提升） |
| 处置时延 MTTR | 告警→本地阻断生效 | P1≤1h |
| 处置转化率 | 确认告警中进入处置的比例 | ≥70%（剩余进入观察） |
注：SLO为工程起步参考值，应按数据可得性与团队规模调整；"领先量"为本课题倡导的核心价值指标（呼应第4页§5.2评估协议）。
03 · 告警分级与路由
| 级别 | 触发条件（示例） | 响应要求 | 路由 |
|---|---|---|---|
| P1 | 高置信flux ∧ （命中重点家族Feed ∨ 指向本组织/重点客户品牌） | ≤1h响应，立即本地阻断+启动外部处置 | 值班分析师+安全负责人 |
| P2 | 中置信single/double-flux，无直接品牌指向 | 班次内复核，确认后处置 | 分析班组 |
| P3 | 低置信疑似（单特征触线、长尾域名） | 日汇总批量复核，沉淀进白名单/规则优化 | 日终报告 |
04 · 处置动作集与证据包
4.1 处置动作分层
| 层级 | 动作 | 生效范围 / 时效 |
|---|---|---|
| L1 本地阻断 | 递归RPZ（BIND Response Policy Zone等）/ 出口防火墙 / 代理与邮件网关黑名单 | 本组织即时生效；注意TTL残留缓存（≤TTL时长） |
| L2 上游协同 | 向注册商/注册局提交滥用工单（附证据包）；公共互联网反网络钓鱼工作组协同；CNNIC域名投诉举报处理平台（.CN域名，见专题首页） | 小时—天级；gTLD经注册商，.CN经CNNIC通道 |
| L3 情报共享 | 向成员单位/Feed平台回传确认IOC（STIX/MISP，见第4页§08） | 小时级；带动生态级阻断 |
| L4 执法协作 | 对具备立案条件的团伙级目标，经正规渠道向执法机构移送证据 | 月级以上；需完整证据链 |
4.2 证据包最小内容
- 域名与解析时序证据：关键窗口的特征快照（churn、AS熵、住宅占比、TTL），附观测点与时间戳；
- 外部信号：Feed命中记录、CT证书条目、RDAP注册信息（获取时间与来源）；
- 影响面说明：观测到的访问尝试量、指向的目标品牌/业务；
- 处置建议与回滚方案。
处置伦理红线：①flux-agent多为被入侵的受害主机，L1阻断应以"域名"为单位，避免对网段级IP的粗放封禁殃及受害者；②任何处置动作保留完整审计日志；③外部通报仅通过正式协作通道，不擅自公开指责具体主体。
05 · 运营组织与Runbook要点
5.1 角色分工
| 角色 | 职责 |
|---|---|
| 平台工程 | 采集/存储/评分管道可用性；SLO守门 |
| 威胁分析 | 告警复核、沙箱取证、证据包制作 |
| 外部协同 | 注册商/平台/工作组的工单与情报交换 |
| 规则owner | 阈值与白名单的版本管理、月度回测 |
5.2 P1事件Runbook摘要（节选）
1. 确认告警证据包完整性（特征快照+外部信号） 2. 本地RPZ临时阻断（TTL≤300s，预计≤5min全网收敛） 3. 同步输出STIX IOC至内部SIEM与成员单位 4. 2h内完成沙箱取证：访问代理IP观测跳转/回源行为（隔离环境） 5. 注册商工单提交（.CN走CNNIC投诉举报平台） 6. 登记事件台账：MTTD/处置时长/最终结果 7. 48h复盘：进入团伙聚类图谱，更新规则与白名单
06 · 度量体系与月报模板
- 流量侧：采集新鲜度分布、覆盖率、管道故障时长；
- 检测侧：漏斗各层通过率、告警量与级别分布、精确率（抽样）、MTTD、领先量分布（按家族）；
- 处置侧：MTTR、L1—L4动作分布、注册商响应时长分布、月度处置闭环率；
- 对抗侧：误报原因Top5、规则变更记录、对抗手法新增观察（如新型规避模式入库）。
07 · 攻击者规避手法与缓解对策
| 已知规避方向（公开研究/报告中的定性描述） | 对检测的影响 | 缓解对策 |
|---|---|---|
| 延长TTL模仿CDN | 时序特征弱化 | 提高多样性/结构特征权重；看churn而非只看TTL |
| 小池化+高频换域 | IP基数特征失效，转入DGA域 | 与子课题03联动，按域名族检测 |
| 来源分片应答 | 单观测点视图不完整 | 跨观测点一致性校验（第3页§02） |
| 借用合法域名/证书 | 注册/证书信号失效 | domain shadowing检测、父域历史对比 |
| 加密DNS通道（DoH/DoQ） | 递归级遥测萎缩 | 内部解析可视化、终端遥测补位（第7页§02） |
08 · 与SIEM/SOAR及工单系统的集成
- 字段映射：告警字段对齐SIEM通用信息模型（时间、域名、置信度、证据摘要、处置建议）；特征快照以大对象存储引用指针传递，避免告警体膨胀；
- SOAR编排：P1告警自动触发剧本——并行执行RPZ下发预检、IOC内部广播、取证任务创建；对外动作（注册商工单）前保留人工审批闸门；
- 工单同步：复核/处置状态与ITSM工单双向同步，MTTR统计以工单状态流转为准，避免口径双轨；
- 审计集中：所有自动化动作与人工操作日志集中留存，支撑复盘与合规审计（呼应§04处置伦理红线）。
本节参考来源（第5页）
[1]
RPZ机制：BIND Response Policy Zones（ISC官方文档）：kb.isc.org；P. Vixie关于DNS防火墙的公开演讲（2010）。
[2]
Perdisci et al. IEEE TDSC 2012：ieeexplore.ieee.org——"早期检测"价值度量（领先量）的方法学参照。
[3]
CNNIC域名投诉举报处理平台：tsi.cnnic.cn（.CN域名处置通道，专题首页已列）。
[4]
MISP项目：misp-project.org；OASIS STIX 2.1：docs.oasis-open.org。
[5]
Holz et al. NDSS 2008：ndss-symposium.org——"解析IP为代理层、封IP无效"的机理出处（第1页§1.3已引）。