摘要

  • Carlos Gañán 把常被压成一个比例的问题拆成两项：某个 gTLD 在一个月里是否出现过恶意注册，以及出现之后活动扩张到多大。
  • 他在 RIPE 93 报告说，Category 1 gTLD 在第一项上更差、在第二项上更好；合并两部分后，模型估计每个 gTLD 月的恶意注册域名总数少 37%。

分析

单一比例掩盖了后续环节

月度滥用率很容易被当成政策的成绩单，却看不到第一个恶意注册之后发生了什么。Carlos Gañán 是 ICANN 安全、稳定与韧性研究团队的首席科学家。他在 RIPE 93 对 Category 1 防护做了两项测试：滥用是否出现？出现后又扩张到什么规模？

答案并不整齐。根据他的演讲，Category 1 gTLD 在一个月内至少记录一个恶意注册域名的模型概率，比其他新 gTLD 高 3.1 个百分点。可是在已有滥用的月份里，预期规模反而低 38%。把两个阶段合并，模型得出的结果是每个 gTLD 月少 37% 的恶意注册域名。

两组数字分别对应入口与扩散：出现过一次滥用的月份可能更多，每次出现后的活动却可能更小。只看一个总比例，管理者会把这两个过程揉在一起。

为什么研究要设两道“门”

研究覆盖 2023 至 2025 年间 1,106 个新 gTLD 的月度记录。Gañán 表示，模型考虑了名称空间规模、注册局架构和共同的月度条件。研究对象是恶意注册域名；被攻陷的域名和国家/地区顶级域名被排除，因为这类保障规则并不负责约束它们。

Category 1 包含两种注册模式。Gañán 比较了更开放、以自我认证为主的 Level 3 组和限制更强的 Level 8 组。ICANN 在 2014 年通过的实施框架把开放准入字符串归为保障措施 1–3，把高度监管、封闭准入字符串归为 1–8。第 6 项要求注册协议纳入注册人持有相关授权、执照或资质的声明；第 7 项要求运营方在投诉质疑资质真实性时咨询主管机构；第 8 项要求注册人报告影响资质有效性的重大变化。演讲报告 Level 8 组在出现率、条件性规模和总量上都低于 Level 3 组。

效果还随年份和滥用类型变化。Gañán 说，钓鱼的差异最明显，恶意软件较弱；僵尸网络命令与控制域名样本少，没有得到统计显著结果。研究没有把资质核验、拒绝注册、投诉处理和下线时长与结果连在一起；这组注册局记录能显示差异究竟出在哪个环节。

三项估计需要放在同一张表上：月度出现概率高 3.1 个百分点，出现后的预期活动规模低 38%，每个 gTLD 月份的恶意注册域名总量低 37%。拆开入口和遏制，才能看清单一滥用率把哪一段藏了起来。

来源

RIPE 93 演讲页面与摘要；官方全体会议文字稿；ICANN Category 1 保障措施；ICANN 2014 年通过的实施框架；ICANN 的 Carlos Hernandez Ganan 简介; RIPE 93 演讲者照片)。