Carlos Gañán : plus de mois avec abus DNS, campagnes plus petites

Résumé

Carlos Gañán a séparé deux questions souvent fondues dans un taux unique : un domaine malveillant apparaît-il pendant un mois, puis quelle taille atteint la campagne ?
Dans sa présentation à RIPE 93, les gTLD de catégorie 1 affichaient davantage d’occurrences, mais des campagnes plus petites une fois l’abus présent ; le modèle combiné estimait 37 % de domaines malveillants en moins par gTLD-mois.

Analyse

Un taux efface le passage à l’étape suivante

Un taux mensuel peut faire passer une règle pour une réussite ou un échec en effaçant ce qui se produit après le premier enregistrement malveillant. Carlos Gañán, scientifique principal au sein du groupe Security, Stability and Resiliency d’ICANN, a soumis les garde-fous de catégorie 1 à deux tests distincts lors de RIPE 93 : l’abus apparaît-il, puis jusqu’où s’étend-il ?

La réponse se partage. Selon sa présentation, la probabilité modélisée qu’un gTLD de catégorie 1 enregistre au moins un domaine malveillant au cours d’un mois dépassait de 3,1 points celle des autres nouveaux gTLD. Mais, une fois l’abus apparu, son échelle attendue était inférieure de 38 %. En combinant les deux volets, le modèle estimait 37 % de domaines enregistrés à des fins malveillantes en moins par gTLD-mois.

Ces mesures ne se contredisent pas : elles suivent deux moments différents. Une extension peut connaître davantage de mois avec au moins un domaine signalé et héberger des campagnes plus petites pendant ces mois. Le chiffre unique gomme cette différence.

Une catégorie, plusieurs régimes

L’étude suivait 1 106 nouveaux gTLD au fil des mois, de 2023 à 2025. Gañán a expliqué que le modèle tenait compte de la taille des extensions, de l’architecture des registres et des conditions mensuelles communes. Il portait sur les domaines enregistrés de façon malveillante dans le périmètre DNS Abuse de l’étude ; les domaines compromis et les ccTLD étaient exclus, car ces garde-fous ne leur étaient pas destinés.

La catégorie 1 regroupe deux modèles d’inscription. Gañán a comparé le niveau 3, plus ouvert et fondé sur l’auto-certification, au niveau 8, à accès restreint. Le cadre adopté par ICANN en 2014 associe les garanties 1 à 3 à l’accès ouvert et les garanties 1 à 8 aux secteurs très réglementés à accès fermé. La clause 6 fait inscrire dans les conditions d’enregistrement une déclaration du titulaire attestant qu’il détient les autorisations, licences ou justificatifs requis.

La clause 7 appelle les opérateurs de registre à consulter les autorités compétentes lorsqu’une plainte met ces justificatifs en doute ; la clause 8 impose de signaler les changements importants qui affectent leur validité. La présentation rapportait pour le niveau 8 une occurrence, une ampleur conditionnelle et un volume total plus faibles que pour le niveau 3.

L’effet variait selon l’année et la forme d’abus : le phishing présentait l’écart le plus net, le malware un effet moindre, et les domaines de commande et contrôle de botnet aucun effet statistiquement significatif dans un échantillon peu fourni. L’étude observationnelle ne séparait pas les contrôles de justificatifs, les demandes refusées et le traitement des plaintes ; elle ne suivait pas non plus les délais de retrait. Des registres reliant ces étapes aux résultats montreraient où l’écart s’est formé.

Les trois estimations doivent se lire ensemble : 3,1 points de probabilité mensuelle d’occurrence en plus, une ampleur conditionnelle inférieure de 38 %, et 37 % de domaines malveillants enregistrés en moins par gTLD-mois. Cette lecture sépare l’accès à l’inscription du confinement des campagnes, deux étapes qu’un taux unique écrase.