ICANN измеряет наблюдения DNS, а не момент устранения

Кратко

Time to Mitigation в Domain Metrica — это оценка времени между первым и последним наблюдавшимся активным разрешением подходящего домена из поддерживаемого списка репутации, а не точный интервал от сообщения до вмешательства.
До сравнений по регистраторам, реестрам или через API следует раздельно показывать сообщение, начало мониторинга, последнюю активность и подтверждение статуса, а также причины, исключения и отсутствие атрибуции.

Название показателя отвечает на вопрос увереннее, чем его датчики. «Время до устранения» звучит как промежуток от жалобы до действия. Новая функция ICANN, объявленная 3 сентября, измеряет другое: видимую активность домена в DNS.

Time to Mitigation, или TTM, полезен именно в этих границах. Он помогает сравнить наблюдаемые состояния. Он не фиксирует исполнителя, команду на изменение и точную минуту проведённой меры.

До первого отсчёта уже есть два события

Domain Metrica получает имена из поддерживаемых списков репутации. ICANN подчёркивает, что попадание в такой список само по себе не доказывает инцидент и не означает независимую проверку активности организацией. У поставщиков различаются охват, точность, сбор и классификация.

Для подходящих доменов второго уровня система стремится начинать мониторинг как минимум 95% новых сообщений в течение пяти минут после их получения. Затем запросы DNS обычно идут раз в пять минут. Однако ни время сообщения, ни время начала мониторинга автоматически не запускают TTM.

Согласно подробному FAQ, начало — первая наблюдавшаяся активная резолюция. Домен должен вернуть запись A либо, если A нет, запись AAAA; адрес не должен быть распознан как известный sinkhole.

Это измерение поведения DNS, а не полной доступности сервиса. Ответ с адресом не доказывает работу сайта, почты или вредоносного приложения. Наблюдения не непрерывны: изменение между двумя запросами может остаться незамеченным. На результат влияют местоположение резолвера, кэш, фильтрация, сбои и ограничения частоты.

Если активного ответа не было ни разу, длительность оценить нельзя. Отсутствующее значение не равно нулю.

Последняя активность и подтверждение — разные точки

Для причины DNS removal система требует три последовательных ответа NXDOMAIN. При обычном интервале от первого до третьего проходит около десяти минут. Эта серия подтверждает классификацию, но не входит в TTM: его конец — предыдущая последняя активная резолюция.

При sinkhole имя может по-прежнему успешно разрешаться. Важен переход на адрес, признанный известной инфраструктурой перенаправления. Последний ответ на иной адрес завершает оценку, а первое подходящее наблюдение sinkhole хранится отдельно.

Статус «Mitigated: Unknown» применяется, когда данные поддерживают классификацию устранения, но не позволяют определить способ как DNS removal или sinkhole. Неизвестен распознаваемый метод, а не обязательно сам факт изменения.

Ни один вариант не устанавливает действующее лицо. DNS мог изменить регистратор, реестр, владелец имени, DNS- или хостинг-провайдер, служба безопасности, государственный орган; регистрация могла истечь. Показатель также не подтверждает прекращение всех форм злоупотребления, связанных с именем.

Через два месяца без критерия устранения мониторинг прекращается со статусом «Unmonitored: Aged out». За этот период может быть рассчитана активность, но домен не считается устранённым случаем.

Сравнение должно вернуть четыре времени

Ограничения уже раскрыты в документации ICANN. Общее описание Domain Metrica также отделяет сигнал списка от подтверждённого инцидента. Риск возникает, когда индивидуальная оценка становится таблицей эффективности организаций.

В планах названы визуализации, специальные представления для регистраторов и реестров и доступ через API. В каждой сравнительной строке следует оставить четыре отметки: поступление сообщения; старт мониторинга; последнюю активную резолюцию вне sinkhole; последующее подтверждение статуса и его причины.

Рядом нужны версия метода, источник, правило отбора имён, периодичность, обработка A и AAAA, число неоценимых и aged-out случаев. Среднее или медиана по организации обязаны раскрывать знаменатель и отсутствующие окончания.

Меньший TTM может стать основанием для дополнительного вопроса. Сам по себе он не доказывает более быструю реакцию указанного регистратора или реестра.