01 · 品牌监测运营体系
1.1 品牌词典治理
- 收录范围：品牌中文名/英文名/拼音/缩写、产品线名称、高管姓名（高定向攻击目标）、营销活动词（按季度更新）、历史品牌名（防止"旧品牌复兴"仿冒）。
- 责任机制：品牌/市场部门提名、安全部门维护、法务确认授权边界（哪些变体属于授权合作方）；季度评审并与商标监测体系对齐。
- 覆盖矩阵：品牌×高风险TLD（新gTLD、历史滥用后缀）×语言变体——覆盖率按季度审计（第5页指标）。
1.2 运营节奏
| 节奏 | 动作 |
|---|---|
| 实时 | P1告警分钟级推送与人工复核；值班轮换与升级路径 |
| 每日 | P2队列清零；新增观察样本标注；情报源比对 |
| 每周 | 运营周报：发现量/处置量/时延/误报率四指标；规则调优评审 |
| 每季 | 品牌词典评审；覆盖审计；桌面演练（本节6.2） |
02 · 告警分级与响应SOP
| 级别 | 判定条件（示例） | 响应动作与时限 |
|---|---|---|
| P1 | 高置信仿冒（高相似度＋注册-签发时窗命中＋风险关键词），且涉及金融/支付等高价值场景，或已解析上线（含referrer/UA欺骗型站点：仅对特定来源展示恶意内容，复核须模拟完整访问链） | 分钟级人工复核→确认后立即并行启动多通道处置（下一节）；同步内部预警（客服/风控话术） |
| P2 | 中高置信候选，或低价值场景的高置信仿冒 | 4小时内富化复核；确认后按P2通道处置；未确认转入观察 |
| P3 | 弱信号（低相似度、无聚集特征） | 观察库沉淀，日报汇总；行为特征演化后自动升级 |
升级与解除纪律：P1解除须以"处置证据回执"为准（注册商冻结回执、浏览器收录确认、CA吊销确认），不得以"站点打不开"草草关闭——攻击者可能仅做了地域/UA过滤。所有解除动作留痕，供季度复盘审计。
03 · 处置通道与协同
3.1 通道全景
| 通道 | 机制 | 时效量级 |
|---|---|---|
| CA吊销 | 向签发CA提交滥用举报（BR要求CA建立滥用响应机制；DigiCert 2024年事件证明BR对重大事件有24小时强制吊销条款） | 数小时—24小时 |
| 注册商/注册局冻结 | 注册商滥用举报通道（多数主流注册商公开abuse邮箱/表单）；注册局层面可依据反滥用政策暂停解析 | 数小时—数日 |
| 浏览器与平台屏蔽 | Google Safe Browsing公开举报入口（Chrome/Firefox覆盖）；Microsoft SmartScreen反馈；Safari欺诈网站警告共享GSB数据 | 小时级（收录后全球生效） |
| 国内处置 | CNNIC域名投诉举报处理平台（国家域名注册管理体系通道）；12321网络不良与垃圾信息举报中心；CNCERT/CERT协同；涉诈线索同步公安机关反诈中心 | 小时级—数日 |
| 托管商处置 | 对聚集托管的ASN/服务商发起滥用投诉（Unpaid Toll Scam案例：33%样本域名集中于单一中国托管商——托管商层处置杠杆显著）；注意云代理普及：Fortra向APWG报告称2026年Q1其处置的钓鱼站点约39%使用Cloudflare DNS代理服务——真实托管位置判定已成为处置前置步骤 | 数日（视服务商响应） |
3.2 协同策略：先保用户，再断根，后补刀
3.3 处置时效基准
公开研究对钓鱼站点存活时间的测量口径不一（域名存活/页面存活/收入周期），但共识区间是"以天计、活跃期以小时—天计"。本子课题的闭环目标设定为：发现≤15分钟、确认≤2小时、主要通道处置请求≤24小时发出、P1事件从发现到用户侧保护≤48小时——按季度以实际数据校准。
04 · 态势感知指标体系
| 指标 | 定义 | 目标/基线 |
|---|---|---|
| 仿冒证书发现量 | 周期内新增确认仿冒证书数（分模式/分CA/分TLD） | 趋势监控，不设上限 |
| 签发→发现时延 | CT日志时间戳与告警时间戳差值中位数 | ≤15分钟 |
| 发现→确认时延 | 告警发出到人工确认的中位数 | P1≤2小时 |
| 处置完成率 | 确认事件在目标时限内获得至少一个通道回执的比例 | ≥90%（P1） |
| 用户侧保护时延 | 确认到浏览器屏蔽收录的中位数 | ≤48小时 |
| 复发率 | 同一团伙换域名/换证书卷土重来的周期内占比 | 趋势监控；上升即触发团伙级溯源 |
| P1误报率 | 复核不成立数/告警总数 | ＜10% |
05 · 组织自有域名CT审计（影子证书发现）
- 清单固化：以证书台账为准建立"官方域名清单"（主域/区域站/营销域/内部系统域）；
- 全量检索：crt.sh对清单内每个域执行通配检索，导出JSON归档；
- 比对分析：证书签发CA是否在CAA授权清单内、有效期是否合理、是否出现在未登记系统上；
- 处置：影子证书按签发渠道追溯（内部私签→纳入ACME管理；授权过期→吊销重签）；
- 联动：审计结论回流子课题06的证书生命周期治理——CT审计是"防外"与"管内"的交汇点。
审计频率建议：核心域每月、全量域每季度；审计工具可直接复用第5页轻量方案，成本边际接近于零。影子证书的高发源：被遗忘的营销活动域、并购获得的历史域名、内部系统私签证书。
06 · 桌面演练设计
双月一次、每次60—90分钟的桌面演练是保持处置肌肉记忆的关键：
| 环节 | 内容 | 计时点 |
|---|---|---|
| 事件注入 | 演练主持人生成模拟P1告警（仿冒域名+真实CT样例格式，避免使用真实钓鱼资产） | T0 |
| 复核走查 | 值班员按复核清单完成判定并"确认" | T0→T1（目标≤2h，演练按分钟计） |
| 处置走查 | 依次"执行"四通道动作（文档/表单模板实操，不真实提交外部通道） | T1→T2 |
| 升级演练 | 注入变故：处置被拒/团伙换证复活——走升级路径与团伙级响应 | T2→T3 |
| 复盘打分 | 对照SOP逐项打分；产出改进项并进入下季度评审 | 演练后48小时内 |
本节参考来源（第6页）
CA/B Forum Baseline Requirements（滥用响应与吊销义务；24小时强制吊销条款——DigiCert 2024年7月事件执行依据）：cabforum.org。
Google Safe Browsing举报入口与生态说明：safebrowsing.google.com；Microsoft SmartScreen反馈：microsoft.com/wdsi。
CNNIC域名投诉举报处理平台：tsi.cnnic.cn；12321网络不良与垃圾信息举报中心：12321.cn。
Interisle《Phishing Landscape 2025》（Unpaid Toll Scam：注册商/TLD/托管商聚集数据，支撑托管商层处置杠杆）：interisle.net。
APWG Phishing Activity Trends Report（攻击规模、品牌被仿冒量、处置实践背景）：apwg.org/trendsreports。
APWG《Phishing Activity Trends Report Q1 2026》（云代理占比、referrer欺骗等反检测趋势观察）：docs.apwg.org。