Carlos Gañán의 DNS 악용 연구: 더 잦은 발생, 더 작은 캠페인

요약

Carlos Gañán은 하나의 DNS 악용률에 섞여 있던 두 질문을 분리했다. 한 달 동안 악의적으로 등록된 도메인이 하나라도 나왔는지, 나온 뒤 캠페인이 얼마나 커졌는지다.
RIPE 93 발표에서 Category 1 gTLD는 발생 빈도에서는 더 높았지만, 발생 후 규모는 더 작았다. 두 모델을 합친 결과는 gTLD 월별 악의적 등록 도메인이 37% 적다는 추정이었다.

분석

한 수치는 다음 단계를 가린다

월별 악용률 하나로 제도를 성공이나 실패로 판정하면 첫 도메인이 등장한 뒤 벌어지는 일을 놓친다. ICANN 보안·안정성·복원력 연구 그룹의 수석 과학자인 Carlos Gañán은 RIPE 93에서 Category 1 보호조치를 두 질문으로 나눴다. 악용이 실제로 나타나는가? 나타났다면 얼마나 확산되는가?

그의 발표 결과는 한쪽으로 정리되지 않는다. Category 1 gTLD가 한 달에 악의적 등록 도메인을 최소 하나 기록할 모델상 가능성은 다른 신규 gTLD보다 3.1%포인트 높았다. 반면 악용이 발생한 경우의 예상 규모는 38% 낮았다. 두 단계를 합친 모델은 gTLD 월별 악의적 등록 도메인이 전체적으로 37% 적다고 추정했다.

두 결과는 서로 다른 단계를 측정한다. 한 건 이상이 발견되는 달은 늘면서도, 그런 달마다 캠페인은 더 작을 수 있다. 단일 집계율은 진입과 확산을 한 통에 넣는다.

1,106개 신규 gTLD의 월별 기록

연구는 2023년부터 2025년까지 1,106개 신규 gTLD의 월별 관측치를 추적했다. Gañán은 모델이 네임스페이스 크기, 레지스트리 구조, 월별 공통 조건을 반영했다고 설명했다. 분석은 연구에서 정한 DNS Abuse 범위 안에서 악의적으로 등록된 도메인을 다뤘다. 침해된 도메인과 ccTLD는 해당 보호조치의 대상이 아니라는 이유로 제외했다.

Category 1에는 두 등록 방식이 있다. ICANN이 2014년에 채택한 이행 체계는 개방형 등록에 보호조치 1–3을, 엄격히 규제되는 폐쇄형 등록에 1–8을 적용한다. 보호조치 6은 등록자가 해당 분야에서 필요한 허가, 면허 또는 자격을 갖췄다고 계약상 진술하도록 요구한다. 보호조치 7은 자격의 진위에 의문을 제기하는 신고를 받으면 레지스트리 운영자가 관계 당국과 협의하도록 하고, 보호조치 8은 자격의 유효성에 영향을 주는 중요한 변경 사항을 알리도록 한다. 발표에서 더 제한적인 Level 8 그룹은 Level 3보다 발생, 조건부 규모, 전체 규모가 낮았다.

효과는 연도와 악용 유형에 따라서도 달랐다. 피싱에서 차이가 가장 컸고 악성코드에서는 작았다. 봇넷 명령·제어 도메인은 관측 수가 적어 통계적으로 유의한 효과가 나오지 않았다. 관측 연구는 자격 진술과 실제 검증, 거절된 등록, 신고 처리 기록을 결과와 연결하지 않았고, 신고에서 삭제까지 걸리는 시간도 측정하지 않았다. 이 단계와 결과를 연결한 레지스트리 기록이 있어야 차이가 어느 과정에서 생겼는지 확인할 수 있다.

세 추정치는 함께 읽어야 한다. 월별 악용 발생 가능성은 3.1%포인트 높고, 발생 뒤 예상 캠페인 규모는 38% 작으며, gTLD 월별 악의적 등록 도메인 총량은 37% 적다. 등록 진입과 확산 억제를 나누면 단일 악용률이 가리는 단계가 드러난다.