Кратко

  • Carlos Gañán разделил два вопроса, которые обычно сливаются в один показатель: появился ли за месяц хотя бы один домен, зарегистрированный со злым умыслом, и какого масштаба достигла кампания после этого.
  • В докладе на RIPE 93 у gTLD категории 1 чаще фиксировалось появление, но ниже была условная оценка масштаба. Общая модель дала на 37% меньше вредоносно зарегистрированных доменов на один gTLD-месяц.

Анализ

Одна отметка для разных масштабов

Журнал вызовов может поставить одну отметку и за небольшой очаг, и за пожар на целый квартал: отметка отвечает на вопрос «было ли», но молчит о размере. Месячный счётчик DNS-злоупотреблений похож: он отмечает gTLD-месяц с хотя бы одним вредоносным доменом. Для оценки защиты регистрации частота таких месяцев и масштаб каждой кампании — разные риски. На RIPE 93 Carlos Gañán разделил показатели; для Category 1 они дали сигналы в разные стороны.

Две оценки разошлись. В представленном анализе модельная вероятность того, что gTLD категории 1 за месяц зарегистрирует хотя бы один вредоносный домен, была на 3,1 процентного пункта выше, чем у других новых gTLD. Но если злоупотребление возникало, ожидаемый масштаб был на 38% ниже. В совокупности две части модели дали на 37% меньше таких доменов на gTLD-месяц.

Эти цифры относятся к разным этапам: месяцев хотя бы с одним выявленным доменом может стать больше, а сами кампании в эти месяцы — меньше. Единая доля смешивает вход и дальнейшее распространение.

Что считала модель

Исследование отслеживало 1 106 новых gTLD по месячным наблюдениям с 2023 по 2025 год. По словам Gañán, модель учитывала размер зоны, архитектуру реестра и общие условия каждого месяца. В расчёт входили домены, зарегистрированные со злым умыслом в рамках принятого определения DNS Abuse. Скомпрометированные домены и ccTLD исключили: эти меры не предназначались для управления ими.

Категория 1 включает два режима регистрации. Схема, принятая ICANN в 2014 году, относит к открытой регистрации меры 1–3, а к закрытым регистрациям в строго регулируемых секторах — меры 1–8. Пункт 6 требует включить в договор заявление регистранта о наличии разрешений, лицензий или квалификации для работы в соответствующем секторе. По пункту 7 оператор реестра должен консультироваться с компетентными органами, если жалоба ставит под сомнение подлинность этих документов; пункт 8 требует сообщать о существенных изменениях, влияющих на их действительность.

В докладе у более закрытой группы Level 8 показатели появления, условного масштаба и общего объёма были ниже, чем у Level 3.

Эффект менялся от года к году и зависел от типа злоупотребления. Самая заметная разница была у фишинга, меньшая — у вредоносного ПО; для доменов управления ботнетом статистически значимого эффекта не получили из-за малого числа наблюдений. В материалах выступления нет связи между заявлениями о квалификации, фактическими проверками, отказами в регистрации, жалобами и результатами, а также нет времени до удаления домена. Эти журналы покажут, на каком этапе возник разрыв между более частым появлением и меньшим условным масштабом.

Источники

Сессия RIPE 93 и аннотация; официальная стенограмма пленарного заседания; меры ICANN для категории 1; принятая в 2014 году схема реализации; профиль Carlos Hernandez Ganan на сайте ICANN; портрет докладчика RIPE 93.