01 · 模型谱系：从评分卡到梯度提升
画像评分模型按可解释性与性能的平衡分三层演进：
| 模型 | 定位 | 优缺点 |
|---|---|---|
| 规则评分卡 | 基线与兜底层：品牌距离≤2、钓鱼词根命中、NS聚落高危先验等规则加权 | 完全可解释、零训练成本；无法刻画特征交互，易过时被针对性规避 |
| Isolation Forest Liu et al., ICDM 2008 | 无监督异常层：在18维特征空间直接评分，不依赖标签 | 无需标注数据，适合标签稀缺场景；输出为相对异常度，无概率语义 |
| XGBoost / LightGBM Chen & Guestrin, KDD 2016 / Ke et al., NeurIPS 2017 | 主力监督层：表格特征上的梯度提升树，输出恶意注册概率 | 处理类别不平衡能力强、特征重要性可解释；需要高质量标签（第2页§04） |
| 字符序列深度模型 char-CNN / LSTM | 增强层：直接在域名字符序列上学习命名模式（与DGA检测特征共享） | 捕获人工特征难以表达的构词规律；解释性差，需与树模型融合（stacking）使用 |
02 · 类别不平衡与概率校准
- 代价敏感学习：恶意注册占比万分位量级，采用scale_pos_weight按先验反比加权，并对P1级告警采用"宁可误报、不可漏报"的非对称代价矩阵。
- 概率校准：模型输出经Platt缩放（Platt, 1999）或等距回归（Zadrozny & Elkan, 2002）校准后，评分才可解释为"概率语义"并用于阈值策略与跨模型比较；每季度以最新回测数据重校准。
- 阈值策略：不按固定阈值一刀切，按处置能力动态设定——每日告警配额制（quota）下选择使期望损失最小的阈值点，保证"告警量≈分析师容量"。
- 拒绝推断：被前置拦截（注册商核验不通过、未付款）的域名无后续标签，其评分分布与正常完成注册的样本存在系统差异，评估时须单独报告该截断偏差。
03 · NRD分钟级评分管道
NRD评分管道五阶段
从注册事件到分级推送的端到端时延目标<30分钟
说明：本框架为本课题自定义工程参考架构；阶段间采用消息队列解耦，单点故障不阻塞全链。
3.1 关键工程决策
- 差集发现：以区域文件"昨日集合−今日集合"为主发现通道，辅以RDAP事件时间线（registration event）校验，覆盖未进入区域文件的保留期域名。
- 特征缓存：NS聚落先验、注册商基线等跨域名共享特征以"实体→特征"键值缓存，避免重复计算成为瓶颈。
- 降级策略：RBL源不可用时段切换至纯先验评分并标记置信度下降，禁止"无数据即默认放行"。
04 · 前置预警规则：注册后的时序行为链
单一注册行为难免误伤合法新注册（初创企业、新产品campaign）。本课题将注册后行为序列作为二次确认信号，构建"时序规则层"：
| 时序规则 | 判定逻辑 | 置信度增量 |
|---|---|---|
| 注册→证书加速 | 注册后24h内申请品牌相似DV证书 | 高（对齐钓鱼基础设施搭建时序） |
| 注册→解析隐身 | 注册后长期不解析或仅解析到 Parking/泛解析 | 中（可能是囤域名；结合品牌距离加权） |
| 注册→启用即弃 | 解析启用后N天内弃用或RBL列入 | 高（"启用即弃"生命周期节奏） |
| 聚落共振 | 同聚落其他成员在T天内已被RBL列入 | 高（团伙连带信号） |
| 模板复活 | 已处置聚落的命名模板再次出现新注册 | 极高（复活即重点打击对象） |
05 · 分析师复核工作台要点
- 可解释性优先：每条告警必须附带"主要贡献特征"清单（如"品牌距离=1、NS聚落历史恶意率37%、注册商内z-score=11.2"），而非裸分数。
- 一键取证包：告警详情自动聚合RDAP记录、CT证书、历史RBL命中、同聚落成员列表，减少分析师跨系统切换。
- 处置动作直达：复核确认后可直接生成CNNIC域名投诉举报工单或成员单位通报（见第7页），处置时长进入度量体系（见第5页）。
06 · 本节参考来源（第4页）
[1]
Chen T., Guestrin C. "XGBoost: A Scalable Tree Boosting System", KDD 2016：dl.acm.org。
[2]
Ke G. et al. "LightGBM: A Highly Efficient Gradient Boosting Decision Tree", NeurIPS 2017。
[3]
Liu F. T., Ting K. M., Zhou Z.-H. "Isolation Forest", ICDM 2008。
[4]
Platt J. "Probabilistic Outputs for Support Vector Machines and Comparisons to Regularized Likelihood Methods"（1999）；Zadrozny B., Elkan C. "Transforming Classifier Scores into Accurate Multiclass Probability Estimates"（KDD 2002）：概率校准方法出处。
[5]
Interisle《Phishing Landscape 2022》：钓鱼域名"注册即用"时序证据（41%/14天、48小时），是前置预警规则的统计基础。
[6]
ICANN DAAR Methodology：拒绝推断与截断偏差的数据治理教训（处置动作改变标签可见性）。