域名注册行为画像第2页：数据底座与特征工程体系

01 · 五源数据底座

画像模型的判别力上限由数据底座决定。本课题采用五源融合架构，每一路数据解决一个特定问题，同时引入各自的偏差与局限（在§04统一治理）。

02 · 数据质量治理

数据底座建设参照GB/T 36344-2018《信息技术 数据质量评价指标》的六维框架（完整性、规范性、一致性、准确性、时效性、可访问性）执行，每个维度落实为可度量的工程指标：

2.1 实体对齐：同一实体的跨源归一化

• 域名实体：统一大小写与punycode归一化（xn--前缀域名同时保留IDN原始形态计算同形特征）；同义后缀（如.co.uk vs .uk）按有效顶级域切分。
• 注册商实体：RBL、RDAP与区域文件中的注册商名称映射到统一的IANA注册商ID——这是DAAR实现按注册商聚合的关键技术，本课题沿用该思路并维护别名表。
• 名称服务器实体：FQDN归一化（去尾点、小写）+ 托管NS聚落识别（同一运营方旗下多品牌NS，如多家云厂商的NS集群）。

2.2 被动DNS与解析测量数据

注册后行为链（第4页§04）依赖解析侧测量数据。可用的被动DNS来源包括CIRCL Passive DNS（公益）、Rapid7 Open Data、Farsight DNSDB/SIE（商用）等；主动测量借助分布式解析节点观测NS切换、TTL异常与Fast-flux行为（与子课题04联动）。被动DNS在画像中的三个用途：①补全"注册→首次解析"时序；②支撑NS聚落图构建（域名—NS—IP多边关系）；③验证"启用即弃"生命周期规则。

2.3 隐私/代理服务的规模现实

据Interisle经ICANN《域名行业简报》（Domain Name Industry Brief）发布的研究，截至2024年1月58.2%的gTLD域名记录处于隐私/代理服务保护之下（2020年11月该比例为29.2%），两年内近乎翻倍。这一结构性事实决定了：①"隐私/代理使用"特征只能作为弱信号，单独使用误伤率高；②模板复用与聚落归并必须更多依赖NS、注册商、时序等不含自然人信息的维度；③个案身份核实走RDRS等正规渠道（见第7页）。

03 · 特征工程体系（18维）

特征设计遵循三条原则：①全部特征可在注册时点计算（保证前置性）；②对Redaction鲁棒（不依赖自然人联系字段）；③可解释（支持处置侧理解）。完整特征体系按四个域组织：

04 · 标签体系与评测协议

4.1 时序回溯标注法：破解"恶意注册/被攻陷"混淆

直接以"RBL列入"为标签会引入系统性偏差（被攻陷的合法域名被错标为恶意）。本课题采用注册时点回溯法：

• 恶意注册样本：RBL列入时间在注册后T天内（T=30，对齐Interisle"30天内投入使用"统计），且注册时点字段已呈现异常特征（品牌距离≤2或NS聚落历史恶意率高于阈值）的域名。
• 被攻陷样本：域名注册时间早于RBL列入时间超过阈值（如365天）或注册时即为知名站点（Tranco前100万内），列入原因判定为"站点被攻陷"——此类样本不进入恶意注册训练集，但单独用于评估模型的"误伤合法老域名"率。
• 灰色样本隔离：无法判定的样本进入隔离区，仅用于无监督聚类评估，不进入监督训练。

4.2 类别不平衡与评估协议

• 恶意注册在NRD中占比极低（万分位量级），训练采用代价敏感学习与分层抽样；评估以PR-AUC、Precision@k为主指标，Accuracy不作为参考指标。
• 时间维度切分：训练/测试按时间窗隔离（避免未来信息泄漏），滚动回测模拟生产。
• 外部一致性校验：模型产出的"高危注册商/TLD先验"与DAAR、Interisle公开密度数据做年度级对照（仅验证方法学方向一致，不追求数值一致——口径不同）。

4.3 特征与标签的版本化管理

• 特征定义、标签规则（T、阈值、RBL清单版本）纳入版本库管理，模型评估报告强制标注特征集与标签集版本号；
• RBL源变更（清单增删、口径调整）触发回归评估，避免"指标漂移"被误读为"威胁态势变化"；
• 保留特征缺失率周报：Redaction政策调整、TLD注册模式迁移（thin→thick）等外部事件导致的特征可得性变化须可追溯。

05 · 本节参考来源（第2页）