域名注册数据治理

01 · 从治理到资产：注册数据的价值栈

第2—5篇解决的是"数据可信、合规可用"的问题；本篇回答"治理之后，数据如何产生安全价值"。注册数据的价值转化遵循与威胁情报一致的价值栈逻辑：原始记录→结构化档案→关联画像→可行动情报。治理体系（质量评分+实体解析）决定上层建筑的高度——没有可信的注册数据底座，任何检测模型都是在流沙上建塔。

02 · 威胁情报化路径

2.1 三类核心情报产品

2.2 风险评分框架

注册侧风险评分建议采用可解释的加权模型而非黑盒模型，便于审计与调参。示例维度：

• 命名风险：与受保护品牌词的编辑距离、IDN同形异义字符使用、熵值异常（对齐子课题03 DGA检测）。
• 行为风险：注册时间集中度（同一实体的批量注册）、注册时长（短期注册 historically 与滥用相关性）、删除—再注册循环。
• 基础设施风险：名称服务器与已知恶意基础设施的重叠度、解析IP的信誉。
• 历史风险：同实体名下域名的历史滥用记录、处置记录。

注：各维度权重须经带标注样本的回归/校准确定，并按TLD分别校准——不同注册管理域的基线分布差异显著，统一阈值必然误伤。

03 · 反钓鱼治理应用

3.1 钓鱼域名注册特征

钓鱼域名的注册环节通常暴露以下可检测特征：仿冒品牌词的拼写变体（字符增删/替换/同音字）、针对特定行业活动的主题化命名（如"年度汇算""机票退改"窗口期批量注册）、免费或低价注册商与TLD偏好、隐私代理服务集中使用、以及"注册—证书申请—上线"的紧凑时序。据威胁猎人等企业品牌外部风险研究及APWG等行业组织的公开报告，钓鱼仿冒与品牌滥用事件长期高位运行，其中注册环节的前置信号是拦截成本最低的治理切入点。

3.2 快速溯源工作流

3.3 .CN vs gTLD的处置路径差异

04 · 基础设施研究支撑

• Fast-flux基础设施：Fast-flux域名（子课题04）的注册记录是还原控制网络的锚点——注册商、注册时间窗与名称服务器聚类可将"IP轮换的浮冰"锚定到"注册实体的冰山"。
• DGA家族行为：DGA域名（子课题03）虽由算法生成，但其注册人、注册商与注册时序仍暴露家族运营习惯；结合DGArchive家族标注可构建"算法特征+注册特征"的复合检测。
• CT交叉验证：证书透明度日志（RFC 6962，子课题02）记录证书签发时间——域名注册时间与证书申请时间的时序窗口（如"注册后2小时内申请证书"）是识别自动化钓鱼流水线的高效信号。
• 注册商/TLD风险画像：参照ICANN DAAR方法论，按注册商与TLD统计滥用集中度指标，为"在哪里注册更危险"提供数据答案，支撑注册商安全水位评估（子课题06）。

05 · 测量与评估对标

ICANN运营的域名滥用活动报告系统（DAAR）基于注册数据对安全威胁域名进行集中度量，按TLD与注册商输出滥用指标并发布公开报告，已成为全球域名滥用政策讨论的数据基石。本课题的.CN态势感知（子课题06）在方法论上与DAAR对标：统一滥用类型口径（钓鱼、恶意软件分发、C2、垃圾邮件）、按注册商/注册服务机构输出安全水位、定期发布趋势报告。差异在于：.CN体系内可叠加实名核验数据与投诉处置全链路数据，形成"注册—使用—投诉—处置"的完整闭环观测，这在gTLD生态中难以实现。

政策层面，2025年8月《gTLD注册数据政策》生效后，gTLD注册数据的收集、公开、保留与披露进入统一政策周期，基于注册数据的测量指标（如DAAR）在政策讨论中的权重进一步提升；本课题.CN侧的态势指标设计同步对齐这一治理趋势。

06 · 数据服务形态与标准化输出

6.1 服务形态

6.2 标准化封装

对外共享采用双标准封装：国际标准使用STIX 2.1（域名对象、攻击模式关联）；国内对标GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》（2018年10月10日发布、2019年5月1日实施），其定义的八大威胁信息组件与"可信度""有效时间范围"字段要求，与本课题第3篇的质量评分体系天然衔接——质量置信度即情报置信度。

{
  "type": "domain-name",
  "spec_version": "2.1",
  "value": "example-cn-secure.example",
  "x_risk_score": 87,
  "x_risk_dimensions": {"naming": 92, "behavior": 81, "infra": 78, "history": 0},
  "x_quality_tier": "gold",
  "x_confidence": "high",
  "x_valid_until": "2026-09-20T00:00:00Z"
}

说明：x_前缀字段为私有扩展示意，正式产品按消费方约定的扩展规范命名。

07 · 伦理与合规红线

本篇参考来源（第6篇）