Resumo

  • O Time to Mitigation do Domain Metrica estima o intervalo entre a primeira e a última resolução DNS ativa observada de um domínio elegível reportado por lista de reputação; não mede a hora exata de uma intervenção.
  • Antes de criar comparações por registrador, registro ou API, a ICANN deve separar reporte, início do monitoramento, última atividade e confirmação do estado, incluindo exclusões e ausência de atribuição.

Uma futura lista de registradores com “menor tempo até a mitigação” seria fácil de entender — e fácil de interpretar além do que os sensores mostram. A novidade anunciada pela ICANN em 3 de setembro ainda está na busca por domínio, mas a organização já aponta para visualizações e recortes por registro e registrador.

Por isso, a hora de fixar o significado do Time to Mitigation, ou TTM, é agora. O valor descreve atividade observada no DNS. Ele não abre no momento da denúncia nem fecha quando um ator identificável executa uma medida.

A lista aciona o monitoramento, não prova o caso

O Domain Metrica recebe nomes de listas de bloqueio por reputação que a plataforma admite. A ICANN ressalva que uma ocorrência na lista não confirma sozinha um incidente nem significa que a própria organização verificou a atividade. Os provedores variam em alcance, precisão, classificação e forma de coleta.

Para domínios de segundo nível elegíveis, a meta operacional é começar a monitorar pelo menos 95% dos novos reportes em até cinco minutos após sua recuperação. As consultas DNS acontecem normalmente a cada cinco minutos. Mesmo assim, o horário do reporte e o começo do monitoramento ficam como contexto: não são automaticamente o início do TTM.

A FAQ do produto começa a estimativa na primeira resolução ativa observada. O nome deve devolver um registro A ou, quando não há A, um registro AAAA; o endereço não pode estar identificado como sinkhole conhecido.

Essa regra mede resolução, não a disponibilidade de um site, serviço de e-mail ou aplicação maliciosa. A amostragem não é contínua e pode perder uma mudança revertida entre duas consultas. Localização do resolvedor, cache, filtragem, falhas e limitação de tráfego também interferem no que fica visível.

Se nenhuma resolução ativa aparecer, não existe duração estimável. Valor indisponível não é mitigação em zero minuto.

A confirmação acontece depois da última atividade

No caso de remoção do DNS, são necessárias três respostas NXDOMAIN consecutivas. Com o intervalo padrão, a primeira e a terceira costumam ficar separadas por cerca de dez minutos. A sequência confirma a classificação; o TTM termina antes dela, na última resolução ativa.

Um sinkhole cria outra evidência. O nome ainda pode resolver, mas o endereço corresponde a uma infraestrutura conhecida de desvio. A última resposta para um endereço não reconhecido como sinkhole encerra a estimativa, e a primeira correspondência qualificada é registrada à parte.

Há ainda “Mitigated: Unknown”, usado quando os dados sustentam a classificação, mas não permitem definir a via como remoção DNS ou sinkhole. O desconhecido se refere ao método identificável, não a uma conclusão de que nada ocorreu.

Nenhum desses resultados aponta o responsável. Registrador, registro, titular, provedor de DNS ou hospedagem, equipe de segurança, autoridade pública ou simples expiração podem explicar uma transição. Também não há prova de que toda forma de abuso ligada ao nome acabou.

Se dois meses terminarem sem os critérios de mitigação, o caso vira “Unmonitored: Aged out”. Pode haver estimativa de atividade durante o período, mas não se trata de um domínio classificado como mitigado.

Quatro horários sustentam uma comparação honesta

A documentação pública contém salvaguardas importantes. A página geral do Domain Metrica distingue o sinal de lista de um incidente confirmado. O desafio será transportar essas diferenças quando o número sair da tela individual.

Cada linha de comparação deveria mostrar quatro horários: entrada do reporte na cadeia; início do monitoramento; última resolução ativa fora de sinkhole; confirmação posterior do estado e de seu motivo. A versão do método, a fonte, a elegibilidade, a cadência, o tratamento de IPv4 e IPv6, os casos sem estimativa e os aged out completam o registro.

Em uma média ou mediana por registrador ou registro, o denominador precisa revelar quantos casos não tiveram final mensurável e por quê. Uma duração curta pode indicar onde investigar. Não demonstra, sozinha, que a parte contratada reagiu mais depressa.

A proposta não exige abrir conteúdo licenciado das listas nem dados de investigação. Ela conserva no resultado comparativo as distinções que a própria ICANN já publicou.

Fontes

  1. Anúncio da ICANN sobre as novas medições
  2. FAQ e definições do Domain Metrica
  3. Página da plataforma ICANN Domain Metrica
  4. Apresentação do projeto de medição em 2024
  5. Lu Heng, Note 72