钓鱼仿冒证书滥用与生态分析第04页：钓鱼证书检测与识别方法体系

01 · 方法体系总览：四族方法

钓鱼证书检测不是单一算法问题，而是"数据源×方法族"的组合工程。本子课题将方法归纳为四族，组合原则为：任何告警至少由两个独立方法族交叉确认（纵深防御），同时保留"单族强特征直出"的例外通道（如注册-签发时间窗）。

02 · CT流式检测（F1，主数据源）

2.1 为什么CT是决定性的

• 政策全覆盖：Chrome自2018年4月（Chrome 66）、Apple自2018年10月15日起强制要求新签发公开信任证书具备CT合规性——公网钓鱼证书（C1/C2通道）近乎100%进入CT日志。
• 时效可竞赛：证书（含预证书）通常在签发后秒级—分钟级进入日志并可被查询/订阅——发现速度第一次快过了钓鱼站点的部署速度。
• 完全被动：监测方无需访问目标站点，合规风险趋近于零（与主动爬取钓鱼页面的本质区别）。

2.2 工程要点与已知局限

03 · 域名相似度算法（F2）

3.1 算法工具箱

3.2 分层阈值与误报控制

• 三层置信度：高置信（如主域与品牌编辑距离≤1且含风险关键词）直出P1候选；中置信进富化队列；低置信仅入观察库。阈值按品牌重要性差异化（金融品牌从严）。
• 合法变体白名单：官方营销域名、区域站点、授权合作方域名入库豁免——白名单治理质量直接决定误报率，须有 owner 与季度评审机制（第5页）。
• 对抗样本跟踪：攻击者会针对单一算法构造绕过样本（如过长拼接稀释编辑距离），须保留多算法并行与人工抽检机制，持续回灌误报/漏报样本。

04 · 证书字段与行为特征（F3）

05 · 多源联合研判（F4）与评分模型

5.1 富化数据源

5.2 联合评分模型（示意配置）

{
  "rule_example": "示意配置——权重须按本单位误报容忍度校准",
  "signals": [
    {"name": "brand_similarity_high",  "source": "F2", "weight": 40, "note": "主域与品牌编辑距离≤1 或 高置信confusable"},
    {"name": "reg_cert_same_day",      "source": "F3", "weight": 25, "note": "RDAP创建时间与CT签发时间差<24h"},
    {"name": "risky_keyword",          "source": "F2", "weight": 10, "note": "login/verify/secure/update等"},
    {"name": "bulk_registration",      "source": "F4", "weight": 15, "note": "同注册商/同模板批量注册聚集"},
    {"name": "shared_hosting",         "source": "F4", "weight": 10, "note": "同IP/ASN承载多个仿冒词根"}
  ],
  "policy": [
    {"if": "score >= 70", "then": "P1告警——分钟级人工复核并启动处置（第6页）"},
    {"if": "score 40-69", "then": "P2——富化队列，4小时内复核"},
    {"if": "score < 40",  "then": "观察库——沉淀行为特征，不告警"}
  ]
}

06 · 方法族对比与选型指南

本节参考来源（第4页）