01 · 批量注册的两种形态
"批量注册"本身不是恶意行为：电商大促的防御性注册、品牌方的商标域保护性注册、域名投资人的组合持仓均为合法场景。画像的目标是从批量注册中识别出恶意形态。Interisle《Phishing Landscape 2025》测得37%的钓鱼域名经批量注册服务购入，且恶意批量注册与合法批量注册在四个维度上存在可分离的差异：
| 维度 | 合法批量注册 | 恶意批量注册 |
|---|---|---|
| 命名模式 | 品牌词变体的系统性覆盖（常见拼写、常见后缀） | 随机字符、词根拼接、品牌+高频钓鱼词组合 |
| 时间模式 | 工作日工作时段、节奏平稳 | 分钟级连续注册、非自然时刻爆发、campaign前数天集中 |
| 基础设施 | 品牌方自用NS或主流托管、邮箱可达 | Disposable NS聚落、虚假联系信息、隐私代理高比例 |
| 生命周期 | 多年期注册、持续续费 | 1年最短周期、短期内弃用或被RBL列入 |
Interisle《Phishing Landscape 2022》从注册商维度给出了聚集的量化证据：在四个TLD中，超过80%的恶意域名通过同一家注册商注册——注册商与NS一样是批量注册归并的强特征维度，这也是本课题将"注册商×时间窗"纳入爆发检测网格的直接依据。
02 · 时间维爆发检测
批量注册在时间轴上必然呈现密度异常。本课题采用两级检测：
- 窗口密度检测：在"注册商×时间窗"（窗口1小时/1天双尺度）网格上统计注册量，相对该注册商30天滚动基线计算z-score与稳健z-score（基于中位数与MAD，抗离群），|z|>6且绝对量超阈值的窗口标记为"爆发事件"。该设计等价于在单维时间序列上做无参数异常检测，避免对流量分布的强假设。
- 时间序列聚类：对疑似campaign的注册时间戳做密度聚类（DBSCAN，Ester et al., KDD 1996），ε取分钟级、MinPts取10，将爆发事件内部细分为多个"注册波次"——不同波次往往对应攻击者的不同投放批次，支持分波次处置。
# 伪代码：注册商内爆发事件检测
for registrar in registrars:
baseline = median(rate_30d(registrar)) # 30天基线
mad = median(|rate - baseline|) # 稳健离散度
for window in hourly_windows(today):
z = 0.6745 * (count(window) - baseline) / (mad + 1e-9)
if |z| > 6 and count(window) >= abs_min: # 双条件防小样本误报
emit_burst(registrar, window, members) # 携带成员域名清单03 · 名称服务器图聚类
时间检测回答"何时爆发"，图聚类回答"属于谁"。构建异质图：节点为域名、NS FQDN、IP段、证书（可选边），边为使用关系；批量注册的基础设施指纹体现为图上的稠密连通分量：
- 连通分量归并：同一NS（或同一/24 IP段托管的NS）下关联域名数超过阈值（如≥50）且时间窗重叠的连通分量，标记为"NS聚落"。使用并查集（Union-Find）实现，千万级边规模下近乎线性。
- 聚落健康度评分：对历史聚落计算"复活率"（被处置后同模板重新注册的频率）与"历史恶意率"（聚落成员在RBL中的密度）——两者均高者即为重点监控对象，其新注册成员自动继承高危先验。
- HDBSCAN精修：对大型聚落内部以特征向量（命名熵、时序间隔、模板字段相似度）做HDBSCAN（Campello et al., JMLR 2015）层次聚类，无需预设簇数，适合未知团伙数的真实场景。
与Fast-flux研究的衔接：NS聚落发现是子课题04（Fast-flux基础设施追踪）的入口之一——恶意NS聚落中NS轮换频率、AS多样性等指标可直接复用Holz等（NDSS 2008）的经典判别框架。
04 · 聚类评估与分析师人机协同
- 评估指标：聚类质量以轮廓系数（Silhouette）与稳定性（不同时间窗重跑的NMI一致性）度量；业务效果以precision@k（分析师每日复核前k个聚落的确认率）度量——目标是让分析师每天花固定时间（如1小时）处置掉当天最大的威胁。
- 告警分级：聚落级告警按"规模×历史恶意率×当前RBL命中率×品牌距离"四因子分级：P1（≥100域名且品牌距离≤2）直接推送处置；P2进入日复核队列；P3仅记录趋势。
- 反馈闭环：分析师的确认/误报标注回流为聚落特征（如"该团伙偏好某注册商"），每周重估先验权重，形成人在环路的主动学习。
防操纵设计：当聚落指标成为处置依据时，指标本身即成为攻击目标（古德哈特定律）。应保留独立验证通道（RBL列入、用户举报、CT证书异常）交叉确认，避免单一画像特征被针对性伪装（如故意拉长注册间隔规避时间检测）。
05 · 合法批量注册的识别与白名单机制
为将告警量收敛到分析师可消化规模，必须为合法批量注册建立"可解释豁免"通道，避免误伤品牌方防御性注册与电商大促：
- 商标与防御性注册识别：与品牌方商标词库、Tranco榜单交叉——命名模式为"品牌词+常见后缀/常见拼写变体"、注册多年期、解析指向品牌官方NS或主流托管的聚落，标记为"防御性注册"白名单候选；
- 电商大促模式：大促前注册波次具有可预测的时间窗（如双11前60天）、命名含活动语义、生命周期跨年续费，可建立"活动日历先验"；
- 域名投资人组合：持仓域名长期parked、无解析启用行为、命名与任何品牌距离≥3，可降级为观察对象；
- 白名单治理：白名单条目设有效期（如180天）并定期复核；白名单聚落若出现"成员转入RBL"事件立即熔断失效——白名单是降低误报的杠杆，而非豁免审查的凭证。
边界声明：白名单仅用于"告警分级降权"，不构成对任何域名安全性的背书；处置建议仍以多维交叉验证为准（呼应§04防操纵设计）。
06 · 本节参考来源（第3页）
Interisle《Phishing Landscape 2025》：37%钓鱼域名经批量注册服务购入、77%系恶意注册。interisle.net
Ester M., Kriegel H.-P., Sander J., Xu X. "A Density-Based Algorithm for Discovering Clusters in Large Spatial Databases with Noise"（DBSCAN）, KDD 1996。
Campello R. J. G. B., Moulavi D., Zimek A., Sander J. "Density-Based Clustering Based on Hierarchical Density Estimates", PAKDD 2013；扩展版 "Hierarchical Density Estimates for Data Clustering, Visualization, and Outlier Detection", ACM TKDD 10(1), 2015。
Holz T. et al. "Measuring and Detecting Fast-Flux Service Networks", NDSS 2008：NS轮换与AS多样性判别框架。ndss-symposium.org
Goodhart C. A. E. "Problems of Monetary Management: The U.K. Experience"（1975）及Strathern M. "Improving Ratings: Audit in the British University System"（1997）：指标操纵风险的经典出处。
Liu F. T., Ting K. M., Zhou Z.-H. "Isolation Forest", ICDM 2008：异常评分方法（第4页复用）。