Zusammenfassung

  • Domain Metricas Time to Mitigation schätzt für eine geeignete, auf einer Reputationsliste gemeldete Domain die Zeit zwischen der ersten und letzten beobachteten aktiven DNS-Auflösung; sie misst nicht exakt Meldung bis Eingriff.
  • Bevor Register, Registrare oder API-Nutzer verglichen werden, müssen Meldezeit, Monitoringbeginn, letzte Aktivität und Statusbestätigung samt Ausschlüssen, Gründen und fehlender Akteurszuordnung getrennt bleiben.

Vier Ereignisse können an einem Fall hängen: Ein Reputationsdienst meldet eine Domain, das Monitoring beginnt, die letzte aktive DNS-Antwort erscheint, später ist ein Status hinreichend bestätigt. Der neue Kennwert von ICANN verdichtet davon nur einen Ausschnitt.

Seit dem 3. September bietet Domain Metrica eine Time to Mitigation, kurz TTM. Als Beobachtungswert kann sie nützlich sein. Als vermeintliche Stoppuhr für die Reaktion eines verantwortlichen Unternehmens würde sie mehr behaupten, als die Messung hergibt.

Der Bericht startet noch nicht die TTM

Die Plattform bezieht Namen aus unterstützten Reputation Block Lists. ICANN behandelt einen Listeneintrag nicht als unabhängig bestätigten Vorfall. Quellen unterscheiden sich bei Abdeckung, Genauigkeit, Erhebung und Klassifikation.

Für geeignete Second-Level-Domains besteht das Betriebsziel, mindestens 95 Prozent neuer Meldungen binnen fünf Minuten nach Abruf ins Monitoring zu nehmen. Anschließend fragt das System das DNS üblicherweise im Abstand von fünf Minuten ab. Meldezeit und Monitoringbeginn bleiben Kontext; der TTM-Beginn sind sie nicht automatisch.

Nach der ausführlichen FAQ beginnt die Schätzung mit der ersten beobachteten aktiven Auflösung. Dafür muss mindestens ein A-Eintrag oder, falls kein A-Eintrag zurückkommt, ein AAAA-Eintrag vorliegen. Die Adresse darf nicht als bekannte Sinkhole-Infrastruktur gelten.

Damit misst die Plattform DNS-Verhalten, keine vollständige Dienstverfügbarkeit. Eine erfolgreiche Auflösung beweist nicht, dass Website, E-Mail oder ein schädlicher Dienst funktionierte. Die Messung ist nicht kontinuierlich und kann Änderungen zwischen zwei Abfragen verpassen. Resolverstandort, Cache, Filter, Ausfälle und Rate Limits beeinflussen die Sicht.

Wird nie eine aktive Auflösung beobachtet, lässt sich keine Laufzeit schätzen. Ein unbekannter Wert ist nicht null.

Bestätigung und Endpunkt fallen auseinander

Für den Grund DNS removal verlangt Domain Metrica drei aufeinanderfolgende NXDOMAIN-Antworten. Beim üblichen Takt liegen zwischen der ersten und dritten Antwort rund zehn Minuten. Die Folge bestätigt die Einordnung; die TTM endet schon mit der vorherigen letzten aktiven Auflösung.

Bei einem Sinkhole kann der Name weiterhin erfolgreich auflösen. Entscheidend ist, dass die Adresse als bekannte Umleitungsinfrastruktur erkannt wird. Die letzte Antwort auf eine nicht entsprechend erkannte Adresse bildet das Ende der Schätzung, die erste qualifizierende Sinkhole-Beobachtung wird getrennt festgehalten.

„Mitigated: Unknown“ gilt, wenn die Daten eine Minderungsklassifikation tragen, die Methode aber weder als DNS removal noch als Sinkhole bestimmbar ist. Unknown bezeichnet die erkennbare Methode, nicht zwingend das Ausbleiben einer Maßnahme.

Keine dieser Kategorien nennt den Handelnden. Registrar, Registry, Domaininhaber, DNS- oder Hostinganbieter, Sicherheitsdienst, Behörde, Ablauf der Registrierung und weitere Ursachen können den beobachteten Wechsel erzeugen. Der Kennwert beweist auch nicht, dass jeder Missbrauch im Umfeld der Domain endete.

Nach zwei Monaten ohne erfülltes Minderungskriterium beendet die Plattform die Beobachtung als „Unmonitored: Aged out“. Eine Laufzeitschätzung kann vorhanden sein; als gemindert gilt der Fall nicht.

Aus dem Kennwert wieder vier Zeitpunkte machen

Die öffentliche Methode enthält diese Grenzen bereits. Auch die allgemeine Plattformseite warnt davor, RBL-Präsenz mit einem bestätigten DNS-Missbrauchsvorfall gleichzusetzen. Die Governance-Frage entsteht, sobald Einzelfalldaten zu institutionellen Vergleichen werden.

ICANN stellt künftige Visualisierungen, spezielle Registrar- und Registry-Ansichten sowie API-Zugriff in Aussicht. Dort sollte jede Vergleichszeile die Aufnahme der RBL-Meldung, den Monitoringbeginn, die letzte aktive Nicht-Sinkhole-Auflösung und die spätere Bestätigung von Status und Grund getrennt ausweisen.

Hinzu gehören Methodenversion, Quelle, Eignungsregel, Abfragetakt, A/AAAA-Behandlung, fehlende Schätzungen und aged-out-Fälle. Ein Aggregat pro Unternehmen muss offenlegen, welche Fälle den Nenner bilden und welche keinen messbaren Endpunkt haben.

Eine kürzere TTM kann eine Prüfspur eröffnen. Sie ist für sich genommen weder ein Nachweis schnellerer Vertragsleistung noch eine Zurechnung der Maßnahme.

Quellen

  1. ICANN-Ankündigung zur neuen Laufzeitmessung
  2. Domain-Metrica-FAQ
  3. ICANN Domain Metrica
  4. Vorstellung des Messprojekts von 2024
  5. Lu Heng, Note 72