01 · 研究背景与意义
1.1 数据基础：.CN与全球域名注册数据的规模现实
域名注册行为画像的一切分析都建立在"注册数据可得且规模庞大"这一事实之上。据CNNIC第55次《中国互联网络发展状况统计报告》（2025年1月发布），截至2024年12月我国域名总数达3302万个，其中.CN域名2082万个、连续十年位居全球国家代码顶级域第一；第56次报告（2025年7月发布）显示，截至2025年6月.CN域名达2085万个，连续十一年全球第一。与此同时，ICANN域名滥用活动报告系统（DAAR）在2023年12月一个月的采集周期内即覆盖了1114个gTLD、约2.19亿个区域文件域名。如此量级的注册行为流水，构成了画像研究的物质基础。
1.2 时序证据：钓鱼域名"注册即用"的行为规律
钓鱼域名与合法域名最根本的行为差异体现在时间维度上。Interisle Consulting Group《Phishing Landscape 2022》报告（基于12个权威封锁清单数据的年度测量）指出：41%被举报用于钓鱼的域名在注册后14天内投入使用，且其中大多数在注册后48小时内即被举报；《Phishing Landscape 2023》进一步给出时序证据：gTLD钓鱼域名中34%在注册后48小时内投入使用、46%在14天内投入使用；85%的钓鱼域名在注册后第一年内被举报；而《Phishing Landscape 2025》的数据显示，约77%的钓鱼域名系恶意注册（maliciously registered）而非合法站点被攻陷（该比例2021年为65%、2022年为69%，呈持续上升趋势），其中37%通过批量域名注册服务（bulk registration）购入；同期12个月内被举报的钓鱼域名总量约154.3万个。这组相互印证的多年度数据确立了一个关键事实：注册行为是钓鱼基础设施生命周期的第一道、也是成本最低的一道观测窗口——攻击者在注册阶段即暴露时间集中度、模板复用、命名模式等行为指纹。
1.3 治理验证：注册层控制的有效性已被大规模验证
画像研究的最终价值在于支撑处置，而处置杠杆恰恰集中在注册环节。2022年12月至2023年3月，Meta先后两次在美国加州北区联邦地区法院起诉免费域名注册管理机构Freenom，指控其运营的五个ccTLD（.tk、.ml、.ga、.cf、.gq）被系统性用于钓鱼且未及时处置。据Krebs on Security与Interisle数据的跟踪报道：起诉前后，新注册钓鱼域名从2022年11月的5.2万个、2023年1月的7.2万个，骤降至2023年2月的不足2万个、4月的约1.2万个；Freenom注册的钓鱼域名从2022年12月的约3.5万个降至2023年4月的约1100个。这一事件构成注册行为治理领域罕见的"自然实验"：注册层治理动作可以精确、快速地压缩黑灰产的域名供给，而精准的画像正是触发这类治理动作的证据基础。
1.4 画像的三重核心价值
- 前置性：画像在"注册时刻"完成风险评估，早于域名解析启用、早于钓鱼页面上线、早于任何一次用户访问——这是内容检测、URL检测都无法企及的时间优势。
- 低成本：注册元数据（时间、注册商、模板、名称服务器、TLD选择）是纯结构化信号，无需抓取页面、无需沙箱执行，单域名评估成本以毫秒计，天然适配千万级日评估量。
- 集群性：与单域名检测不同，画像天然产出"团伙视图"——同一注册主体、同一模板、同一名称服务器聚落的批量注册活动，使"单点处置"升级为"集群打击"成为可能。
核心科学问题：面对日均十万至百万级的新注册域名流水，如何构建"数据底座—特征工程—聚类发现—模型评分—预警推送—处置度量"的完整方法链，在可接受的误报率下实现恶意注册的分钟级前置预警与团伙级聚类归因？本课题围绕"数据底座（KQ-1）、识别准确（KQ-2）、行动转化（KQ-3）"三个关键问题展开八页研究。
1.5 国内背景：.CN域名的滥用治理现实
《Phishing Landscape 2025》的TLD结构分析显示，钓鱼域名最常用TLD前20名中仅出现3个ccTLD——.CN、.CC、.RU，.CN作为全球规模最大的国家代码顶级域已进入国际钓鱼滥用测量的视野；与此同时CNNIC第56次报告显示我国域名总数约3262万个（较2024年末的3302万个小幅回落，而.CN域名保持稳定），总量收缩期更容易凸显滥用注册的相对占比变化。中文钓鱼生态还具有本土特点：一方面依托CNNIC域名投诉举报处理平台与注册服务机构联动处置，另一方面仿冒对象高度集中于境内金融机构、电商平台与政务服务，命名上大量使用拼音、谐音与机构简称。这意味着.CN场景下的画像研究既要对标DAAR/Interisle的国际口径，又要覆盖中文命名的语义特征——这也是本课题特征体系在"品牌距离"之外保留"语义模式"与"中文构词"特征位的原因。
02 · 研究目标与关键问题
- 时效目标：新注册域名（NRD）从"注册完成"到"风险评分产出"的端到端时延控制在分钟级，早于钓鱼域名平均投入使用时间（Interisle数据显示大量钓鱼域名48小时内启用，见§01）。
- 准确目标：分层漏斗式识别体系中，进入人工复核队列的告警误报率控制在个位数百分比；高危批量注册活动的聚类召回率可解释、可度量。
- 覆盖目标：数据底座覆盖RDAP/WHOIS注册记录、TLD区域文件、CT日志、DNS测量与威胁情报封锁清单五类来源，并兼容GDPR后Redaction状态的字段缺失现实。
- 闭环目标：画像产出与CNNIC域名投诉举报处理平台、注册服务机构安全接口、成员单位情报消费系统打通，实现"评估—预警—处置—复盘"全链路度量。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 数据底座质量 | RBL反馈标签存在"恶意注册vs被攻陷"混淆、RDAP覆盖率参差、隐私Redaction导致字段系统性缺失，如何构建仍具判别力的特征体系与标签体系？ | 第2页 §01—§04 |
| KQ-2 | 识别准确与误报治理 | 合法批量注册（电商大促、营销campaign、域名投资人）与恶意批量注册在特征空间高度交叠，如何聚类发现"异常"并将告警量收敛到分析师可消化规模？ | 第3页 / 第4页 |
| KQ-3 | 预警到行动的转化 | 评分如何转化为注册服务机构可执行的动作（核验、限速、暂停）与防御方可执行的阻断（DNS、网关、邮件），并以处置时效度量价值、反哺模型？ | 第4页 §06 / 第5页 / 第7页 |
03 · 研究生态全景
3.1 生态参与方
| 角色 | 与本课题的关系 | 代表 |
|---|---|---|
| TLD注册管理机构 | 区域文件数据的权威来源；.CN场景下依托CNNIC国家域名注册管理数据 | CNNIC（.CN）、Verisign（.com/.net）、各gTLD注册局 |
| 注册服务机构 | 画像结果的核心消费方：核验、限速、暂停解析的执行点 | 国内外ICANN认证注册商、CNNIC认证注册服务机构 |
| 治理与标准组织 | 定义注册数据合规边界与度量方法学 | ICANN（RAA/RDAP/DAAR/RDRS）、IETF（RFC 3912/5730/7480-7485）、工信部（域名管理办法） |
| 威胁情报源 | 提供画像模型的反馈标签与验证基准 | APWG、Spamhaus、SURBL、PhishTank、abuse.ch、Google Safe Browsing等RBL |
| 学术测量社区 | 提供排名基线、测量方法与公开数据集 | Tranco（NDSS 2019）、DGArchive（USENIX Security 2016测量论文及配套数据集）、Interisle年度钓鱼报告 |
| 企业消费方 | 品牌保护、反钓鱼前置拦截、威胁狩猎 | 品牌安全团队、SOC/SIEM运营、金融机构反欺诈 |
3.2 关键里程碑
| 时间 | 事件 |
|---|---|
| 1982 / 2004 | WHOIS前身NICNAME协议发布（RFC 812）；现行WHOIS协议规范RFC 3912发布，43端口文本查询机制确立 |
| 2009 | IETF发布RFC 5730，EPP成为注册服务机构与注册局之间的标准供应协议——注册数据的"上游源头"标准化 |
| 2013 | ICANN新版《注册服务机构认证协议》（2013 RAA）生效，其WHOIS准确性计划规范（WAPS）要求注册商对注册人邮箱/电话实施注册后15日内验证 |
| 2015 | IETF发布RFC 7480-7485系列确立RDAP标准，注册数据迈向机器可读化 |
| 2017 | 工信部令第43号《互联网域名管理办法》公布，确立我国域名注册实名制；ICANN立项DAAR系统；Interisle启动年度《Phishing Landscape》测量系列 |
| 2018 | GDPR生效（5月25日），公开注册数据进入Redaction时代；ICANN理事会批准gTLD注册数据临时规范（Temporary Specification，5月17日），RDAP部署义务确立 |
| 2019 | Tranco论文发表于NDSS 2019（2月），研究导向排名抗操纵方法学确立；ICANN要求全部gTLD注册局与注册商于8月26日前完成RDAP实施；DAAR月度报告机制启动（首期月度报告于2019年初发布，并回溯发布2018年数据） |
| 2022—2023 | Meta起诉Freenom（2022年12月、2023年3月两次），注册层治理有效性获得大规模验证；ICANN注册数据请求服务（RDRS）于2023年11月28日试点上线，个案数据披露走向规范化渠道 |
| 2024—2026 | Interisle《Phishing Landscape》系列持续发布：2024报告显示新gTLD钓鱼域名占比升至42%（上一年为25%）；2025报告揭示77%钓鱼域名系恶意注册、37%经批量注册服务购入、新gTLD以约11%市场份额贡献51%钓鱼域名；WHOIS协议退役（2025年1月28日，RDAP成为gTLD注册数据唯一标准化访问协议）；ICANN注册数据政策（Registration Data Policy）全面生效（2025年8月21日） |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| NRD（Newly Registered Domain） | 新注册域名，通常指注册时间在评估时点前72小时至数周内的域名，画像评估的主要对象 |
| Thin / Thick WHOIS | 瘦模式：注册局仅保存注册商与状态等少量字段，联系信息在注册商侧；胖模式：注册局保存完整记录。.com/.net为thin模式代表 |
| WAPS | WHOIS Accuracy Program Specification，2013 RAA附件，注册商须对注册人邮箱/电话进行15日内验证 |
| 批量注册（Bulk Registration） | 同一主体或同一自动化通道在短时间内集中注册大量域名的行为，本身合法/非法皆有，需画像判别 |
| Typosquatting | 抢注目标域名的易错拼写变体（漏字母、换序、键盘邻位）；同源手法还包括bitsquatting（比特翻转）与soundsquatting（谐音） |
| Homoglyph / IDN欺骗 | 利用Unicode形似字符（如西里尔字母а替代拉丁a）构造视觉同形域名，经punycode（xn--前缀）注册 |
| Doppelganger Domain | 去除目标域名中的分隔符（如将secure-login.example.com注册为securelogin.example.com）的仿冒手法 |
| RBL | Reputation Block List，声誉封锁清单，画像模型的主要反馈标签来源（Spamhaus、PhishTank、APWG等） |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "GDPR之后注册数据没法做研究了" | 错误。Redaction仅遮蔽自然人联系字段，注册商、注册时间、名称服务器、状态码、区域文件成员资格等核心行为字段仍完整可得；DAAR、Interisle等权威测量在GDPR后照常产出。真实约束是转向聚合分析与正规披露渠道（RDRS）。 |
| "域名年龄大就是安全的" | 错误。 aged domain（养域名）被买卖、被攻陷复用的现象长期存在；域龄是特征之一而非充分条件，需与注册行为序列、解析行为联合评估。 |
| "画像=维护一份坏域名黑名单" | 错误。黑名单是后置处置产物；画像的核心产出是前置评分与团伙聚类——对尚未列入任何RBL的新注册域名给出风险概率，这是黑名单无法覆盖的时间窗口。 |
| "按注册商排名就是在指控注册商" | 错误。ICANN DAAR方法论明确说明其数据"不可用于对TLD/注册商进行安全排名"——绝对量受体量影响，需用密度（每万域名滥用数）与处置时效等归一化指标，且须区分恶意注册与被攻陷。 |
| "注册数据不准确就没价值" | 片面。伪造本身即信号：批量注册中虚假邮箱比例异常高是公开研究反复确认的判别特征；数据质量维度（GB/T 36344-2018）中的"准确性"应作为特征输入而非前置过滤条件。 |
05 · 研究范围与合规边界
- 对象范围：面向gTLD与ccTLD（含.CN）的第二级注册行为；不覆盖.onion、区块链域名等平行命名空间。
- 方法边界：本课题聚焦注册元数据的统计与机器学习方法；网页内容取证、TLS指纹分析仅作为交叉验证信号引用（详见子课题02/03/04）。
- 数据边界：公开注册数据（RDAP/WHOIS/区域文件）+ 公开RBL + CT日志；个案身份披露须走RDRS或CNNIC等正规渠道，不抓取、不买卖非公开注册数据。
合规与伦理声明：①本课题全部技术路线以防御为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》及《反电信网络诈骗法》（2022年12月1日起施行）；②注册数据处理遵循最小化与目的限定原则，画像特征以聚合、去标识化形式存储与共享，不建立自然人注册人画像；③RBL标签存在"恶意注册/被攻陷"混淆与来源方法论差异，引用任何第三方数据时须注明口径，不得将模型输出作为对任何注册商、注册局或个人的定性结论；④涉及Freenom等具体事件的叙述均基于公开的法院判决、媒体报道与测量机构数据，仅用于方法学讨论，不构成对任何机构的评价。
06 · 与课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 域名注册数据治理 | 画像产出的"高疑似批量注册聚落"直接反哺注册数据质量审计（WAPS验证对象、虚假字段识别）；01课题的数据质量维度（GB/T 36344-2018）是本课题的特征工程规范 |
| 02 证书透明度日志监控 | "注册时间+N天内出现品牌相似证书"是最高价值的时序交叉规则之一；CT签发行为序列可强化注册行为画像的campaign还原能力 |
| 03 DGA域名检测 | DGA家族在注册波次上的聚集性（同注册商、同时间窗、同NS聚落）可反哺DGA家族画像；本课题的字符级特征（熵、可读性）与03课题共享 |
| 04 Fast-flux基础设施追踪 | Fast-flux域名的注册记录（注册商、模板、时长）是基础设施归并的关键维度，画像聚类为其提供入口证据链 |
| 06 .CN域名安全态势感知 | 本课题输出"每万注册域名高危评分密度""批量注册聚落数""预警-处置时效"等态势指标，是06课题年度报告的核心素材 |
07 · 预期成果与交付物
- 《域名注册行为画像方法论》研究报告（含五源数据底座规范、18维特征体系、聚类与评分模型、误报治理规范）
- NRD分钟级评分管道原型（新注册域名Feed→特征计算→风险评分→分级推送，端到端时延<30分钟）
- 批量注册聚落发现工具集（时间窗密度检测 + 名称服务器图聚类 + 模板相似度归并）
- 面向.CN的态势指标月报模板（对齐DAAR密度口径、新增处置时效维度）
- 标准化情报输出模块（STIX 2.1 / GB/T 36643-2018双格式封装，见第7页）
08 · 研究空白与本课题创新点
8.1 国内外研究现状的四个空白
- 空白一（标签口径）：公开测量（DAAR、Interisle）停留在"是否滥用"层面，普遍不区分"恶意注册"与"被攻陷"；学术检测工作（DGA检测、域名信誉）又多面向英文场景。面向中文命名的时序回溯标注方法在国内公开文献中尚缺系统方案。
- 空白二（前置时效）：多数既有系统以"列入RBL"为起点做后置分析，针对NRD的分钟级前置评分管道公开工程实践稀缺，尤其缺少Redaction鲁棒的特征体系设计。
- 空白三（团伙聚落）：批量注册检测文献多聚焦单维度（时间或命名），注册商×TLD×托管×证书的多维聚落归并及其"复活率"度量缺乏公开方法论。
- 空白四（处置度量）：DAAR明确不度量处置（mitigation），国内亦缺少TTD/TTM全链路口径的公开基线，画像价值难以闭环证明。
8.2 本课题创新点
- 方法创新：提出"时序回溯标注法"显式剥离恶意注册/被攻陷混淆，并给出混淆率对评估指标影响区间的报告规范；
- 体系创新：构建"五源底座—18维特征—两级聚类—三层评分—时序规则"的可解释方法链，全链路特征在注册时点可计算；
- 指标创新：在DAAR密度口径（Pst）上叠加处置时效（TTD/TTC/TTM）与聚落复活率指标，形成"密度+时效+团伙"三维态势度量；
- 合规创新：以STIX 2.1与GB/T 36643-2018双格式封装+RDRS个案披露+聚合去标识化存储，形成可审计的合规情报流转样板。
09 · 本节参考来源（第1页）
以下均为真实可查的权威来源（CNNIC报告、ICANN方法论论文、IETF标准原文、NDSS/CCS论文、Interisle年度报告、法院与权威媒体报道），用于支撑本页事实性表述。
CNNIC第55次《中国互联网络发展状况统计报告》（2025年1月）：cnnic.cn。截至2024年12月我国域名总数3302万个，.CN域名2082万个、连续十年全球第一。
CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月）：截至2025年6月.CN域名2085万个、连续十一年全球第一。
ICANN《The Domain Abuse Activity Reporting (DAAR) System》方法论论文（2017年11月30日）：icann.org。定义区域文件+RBL+注册商关联的三源采集与Pab滥用密度公式。
ICANN DAAR月度报告（2023年12月期）：icann.org。当月覆盖1114个gTLD、约2.19亿区域文件域名；并明确DAAR数据不可用于TLD/注册商安全排名、无法区分恶意注册与被攻陷。
Interisle Consulting Group《Phishing Landscape 2022/2024/2025》年度报告：interisle.net。41%钓鱼域名注册后14天内使用（多数48小时内）；超70%在30天内使用；77%系恶意注册；37%经批量注册服务购入。
Krebs B., Krebs on Security（2023年5月29日）：《Phishing Domains Tanked After Meta Sued Freenom》：krebsonsecurity.com。Freenom事件中新注册钓鱼域名月度变化数据（5.2万→1.2万）及Freenom注册钓鱼域名数据（3.5万→1100）。
Le Pochat V., Van Goethem T., Tajalizadehkhoob S., Korczyński M., Joosen W. "Tranco: A Research-Oriented Top Sites Ranking Hardened Against Manipulation", NDSS 2019：doi.org/10.14722/ndss.2019.23386；列表服务 tranco-list.eu。
IETF RFC 3912（WHOIS）、RFC 5730（EPP）、RFC 7483（RDAP数据模型）：rfc-editor.org。
ICANN 2013 Registrar Accreditation Agreement（含WHOIS Accuracy Program Specification）：icann.org。15日验证义务出处。
全国信息安全标准化技术委员会（SAC/TC260）GB/T 36344-2018《信息技术 数据质量评价指标》、GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（2018-10-10发布，2019-05-01实施）。
Interisle Consulting Group《Phishing Landscape 2023》：gTLD钓鱼域名34%在注册后48小时内启用、46%在14天内启用；85%的钓鱼域名在注册后第一年内被举报。interisle.net。