摘要

  • 注册局连续性必须保护完整性、权威性以及可用性。如果在发现之前入侵者修改了记录、交易历史、凭证或恢复副本，恢复后的服务可能快速、内部一致但极其危险地错误。
  • 备份证明字节幸存；但它们不能证明哪个版本反映了合法的资源控制。恢复需要独立见证的变更历史、受保护的时间和序列证据、外部副本、可重现的对账以及明确的上次已知良好决策。
  • 最有用的网络演习始于一次看似合理、悄无声息的完整性攻击：特权访问被盗、选定的持有者联系人和转移证据被更改、常规复制将更改向外传播，攻击者试图使虚假状态看起来陈旧且经过授权。
  • 签名日志和防篡改存储改善了检测能力，但两者都不应成为毋庸置疑的真相来源。签名密钥可能被滥用，保管人可能串通，时钟可能漂移，而一个完美保存的恶意交易仍然是恶意的。
  • 备用运营者必须能够从独立持有的材料中恢复公共注册、反向 DNS、路由注册和精心限定的 RPKI 服务，同时保留争议、拒绝过时的凭据并避免矛盾的权威。
  • NRS 可以通过研究公共依赖关系、发布基于来源的比较分析并倡导普通服务运营者、连续性保管人、独立见证人和事件决策者之间的分离，来加强对当前 RIR 模式的辩论。负责的 RIR 和授权的连续性机构必须实施并测试这种分离。
  • 公共保证应报告演习范围、检测和对账时间、有争议记录数、外部副本健康状况、迁移结果和剩余不确定性。关于备份、弹性或安全认证的模糊声明是不够的。
  • 到 2027 年底，每个关键注册局都应完成一次以完整性为导向的迁移演习，其中主环境及其最新备份被视为可疑。通过意味着证明为什么恢复后的状态值得信赖。

可用性是连续性中较容易的一半

注册局可能在线却在其核心目标上失败。公共查询可能迅速返回，工作人员可能成功登录，资源持有者可能收到确认消息，但底层的权威记录可能已被篡改。对于互联网号码注册局而言，破坏性事件不仅限于停机。它可能是一个看似合理的虚假声明，关于谁控制着一个地址块、哪个组织可以更新它、哪些联系人值得信任，或者哪些加密操作源于该状态。

传统的连续性语言通常以恢复时间和恢复点目标开始。这些指标是有用的。它们询问一项重要服务可以保持不可用多长时间，以及可能丢失多少最新数据。但它们本身并不能回答所选恢复点是否在受损之前、交易顺序是否真实、或者恢复后使用的凭据是否仍属于合法官员。从中毒状态快速恢复可能会加速损害。

NIST 的网络安全框架 2.0 在其恢复结果中明确提出了缺失的要求：备份和其他恢复资产的完整性应在使用前得到验证。NIST 关于从勒索软件和其他破坏性事件中恢复的工作更为直接地强调恢复可信的准确数据。CISA 同样建议使用离线、加密的备份，并定期测试可用性和完整性。这些是跨领域的原则，但它们异常适用于注册局权威。

号码注册局数据具有长期的机构生命周期。分配、指派、转移、合并、联系人变更、争议和遗留记录可能跨越数十年。一笔被篡改的交易可能在接受它的服务器被更换后很长时间内仍然产生后果。因此，恢复需要历史推理，而不仅仅是技术恢复。调查人员必须确定哪些变更是合法的，哪些是攻击者的行为，哪些后续变更依赖于它们，以及哪些公共输出承载了由此产生的声明。

这就是治理与事件响应的交汇点。工程师可以识别被篡改的表、异常的管理会话和不一致的副本。但他们无法单独决定一个有争议的持有者身份，也无法从拥有旧密码中推断出合法权威。律师和董事会成员可以解释治理文件，但他们无法确定日志是否被重写或备份是否在入侵后同步。一个可信的恢复机构需要这两种能力以及一种有限的方式来做出紧急决策。

当前的教训是怀疑而非危言耸听。现有的 RIR 已经在弹性系统、安全控制、审计和连续性规划方面进行了投资。例如，RIPE NCC 公开描述了注册局业务连续性计划、注册局数据托管、ISO 27001 对标和安全保证方面的工作。这些是有意义的承诺。它们应该针对完整性场景进行测试，正是因为这些机构很重要，而不是因为没有公开证据证明即将发生入侵而被忽视。

诉讼和网络入侵产生不同的证据问题

机构争议通过比较是可见的。法院文件、董事会决定、认可通知、成员沟通和公共服务条件提供了所发生事件的有争议记录。即使权威性受到质疑，观察者通常也知道存在争议。连续性规划可以识别触发因素、保留基本功能、任命临时决策者并在争议进行期间维持证据边界。

一个有能力的入侵者试图阻止这种可见性。目标可能是选择性的而非灾难性的：更改持有者联系人、插入一个看似历史的批准、修改转移条件、压制审计事件、替换恢复凭证或创建看似来自授权账户的路由安全操作。系统可能继续正常运行。工作人员可能在不知情的情况下批准后续基于错误前提的交易。

这种差异使得最新副本尤其危险。在普通设备故障中，最新的完整副本通常是首选的，因为它最小化了工作损失。在完整性事件中，在最早可能的入侵之后创建的每个副本都可能重复攻击者的状态。同步复制可以高效地传播损坏。每日备份可以保留相同虚假记录的许多相同版本。高可用性可以增加受污染位置的数量。

回滚的决定也更加困难。返回到较旧的快照可能会移除恶意更改，但也可能丢弃同期完成的合法分配、联系人更新、转移和安全操作。重放所有后续交易可能会重新引入攻击。不重放任何交易可能会损害无辜的持有者。恢复任务是具有可解释权威的选择性重建，而不是两个数据库映像之间的简单选择。

公共输出使重建复杂化。RDAP 和 WHOIS 响应、反向 DNS 委托、路由注册对象、转移记录、成员门户和 RPKI 产品可能按不同时间表更新。缓存和第三方档案可能保留主要机构不再拥有的观察结果。一些输出比其他输出具有更强的加密保护。恢复的内部记录必须与外部用户实际看到的内容进行比较，因为外部效果可以揭示时间点和范围。

法律连续性计划仍然必要。网络事件可能导致禁令、披露义务、合同索赔或刑事调查。但主要针对公司无行为能力设计的计划无法回答如何在其他有效的管理中识别伪造的批准。下一代连续性规则必须将机构知识的受损视为与机构控制受损同等重要的第一类事件。

最具揭示性的场景是悄无声息的选择性腐败

一次有用的演习不应以每个屏幕被加密且每个服务明显不可用开始。这种场景测试了在明显压力下的隔离、沟通和恢复。它没有测试注册局是否能识别一个看起来仍在运行但虚假的状态。一个更好的机构压力测试始于一个未被发现足够长时间以进入常规记录和副本的狭窄入侵。

假设攻击者获取了管理员会话以及足够的上下文信息以模仿正常行为。攻击者选择少数企业结构最近发生变化的资源持有者。一个受保护的恢复联系人被替换。一个支持性文档引用被更改。一个交易时间戳被移入更早的维护期。一个转移限制被移除。这些更改都不会导致全局中断或难以置信的大规模变动。

攻击者随后等待。合法工作人员处理无关请求。复制和备份继续。公共目录响应逐渐反映选定的更改。自动通知被重定向到被替换的联系人。如果第二个账户也被入侵，攻击者用它批准第一个账户启动的一个操作，产生表面的职责分离。目标不仅仅是窃取资源；而是制造一个看似正常的机构历史。

发现可能来自外部。持有者注意到一个意外的联系人，运营者质疑路由授权，独立档案显示更改的响应，或安全监控识别出来自异常设备的特权会话。此时，注册局不能假设报告的记录是唯一受影响的记录。它必须确定最早的访问时间、行使的每个权限、到达的系统、创建的副本以及依赖于更改数据的后续交易。

演习应拒绝给响应者一个方便的答案：主环境及其最新备份都是可疑的。连续性保管人持有更早的独立导出和变更承诺。外部见证人持有签名的检查点或认证摘要。公共观察者保留带日期的响应。团队必须使用这些材料来识别一个可辩护的状态，而不将任何单一副本视为决定性。

成功有多个维度。如果一个异常到达有能力的响应团队，检测成功。如果受影响的权威和凭据被限定而不冻结无关持有者，遏制成功。如果每个有争议的变更都有合理的处置且下游影响被追踪，重建成功。如果公共和依赖服务收敛于接受的状态，恢复成功。如果紧急决定可审查且剩余不确定性被披露，治理成功。

备份是证据，而非真相

“我们有备份”这句话压缩了几个不同的主张。一个备份可能是完整的、可读的、无恶意软件的、最近的、与普通凭据隔离的、并在规定时间内可恢复。每个属性都很重要。但没有一个能证明所代表的交易是经过授权的。数据库可以在攻击者使用有效凭据后被忠实地复制。其校验和可以是正确的，而机构含义是虚假的。

因此，连续性设计应描述备份谱系。对于每个受保护的副本，保管人应知道它是由哪个系统产生的、覆盖了哪个时间范围、哪个账户授权了传输、记录了什么加密摘要、由什么软件创建、副本是否不可变、以及恢复是否经过测试。记录应足够分离，使得注册局常规管理的受损无法重写谱系。

隔离需要的不仅仅是不同的云区域。如果生产管理员可以删除快照、重写保留规则或通过相同的身份系统获取备份解密密钥，地理因素并不能创造独立性。一个有用的外部副本具有独立的授权、受保护的凭据、超越常规操作错误的保留以及为机构紧急情况设计的发布规则。保管人不应成为决定自身副本何时值得信赖的唯一方。

频率带来了权衡。频繁复制减少了可能需要重建的合法工作量，但也在入侵后创建了许多受污染的版本。长保留期提高了达到干净点的机会，同时增加了成本以及持有的敏感历史材料的数量。RIR 和依法指定的保管人应根据交易风险和调查需求来设定保留期，而不仅仅是根据存储便利性。NRS 可以比较它们公布的方法并倡导更强有力的保障措施，但它不设定或管理保留期。

恢复演习应包括应用程序行为，而不仅仅是数据库加载。恢复后的注册局能否生成连贯的公共目录输出、保留反向 DNS 委托、执行有争议的资源限制并验证当前持有者官员？事件响应者能否在不更改的情况下查询先前版本和交易关系？备用环境能否生成针对外部观察的清晰差异报告？一个能够加载但无法支持这些问题的备份是不完整的连续性资产。

同样的怀疑也适用于托管。定期注册局存款和预先安排的保管人可以非常有价值，正如域名注册局背景所证明的那样。ICANN 的紧急后端注册局运营者安排使用数据托管、缓存区域材料、可衡量的服务目标和有限的关键功能来支持临时连续性。但托管并不能决定哪个存款在入侵之前，也不能确定提交注册局是否已经接受了伪造交易。发布是对账的开始，而非结束。

签名历史应使静默重写更加困难

号码注册局应维护一个附加证据的重要操作历史。每个事件应承诺先前的接受状态或先前事件、受影响的资源范围、已验证的参与者、授权基础、时间证据和结果状态。定期签名的检查点应绑定一个更大的时间段。独立见证人应足够频繁地接收这些检查点，使得机构后来无法在不被发现的情况下替换整个有争议的时间段。

这并不要求发布私人成员文件或详细的安全日志。一个公开或成员可见的承诺可以证明某个特定序列存在，而不揭示底层证据。受保护的审查者之后可以将披露的记录与承诺进行比较。隐私和完整性并非对立；谨慎的承诺可以在将敏感内容置于合法访问控制之下的同时，保留检测重写的能力。

签名安排必须与普通应用程序管理分离。如果同一个被入侵的账户可以更改持有者记录并指示历史签名服务认可一个虚构的序列，签名只会增加仪式感而没有独立性。高影响力的检查点应使用保存在不同安全边界、阈值批准或外部见证人的密钥。常规事件仍然可以高效，但权限提升进入证据层应当困难且可见。

时间也需要独立支持。能够更改时钟或插入外观陈旧记录的攻击者可能使交易顺序变得模糊。检查点应包含受保护的单调序列号和来自多个来源的时间证据。外部接收时间提供了另一个约束。完美的全局时间是不必要的；响应者需要足够的独立顺序来证明声称的事件不可能在某个特定见证状态之前存在。

签名历史有局限性。一个合法的签名服务可以证明一个被恶意授权的交易。两个腐败的内部人员可以满足双人规则。一个被入侵的密钥可以认可一个虚假的检查点。有效的签名证明与密钥的连接，而非道德或法律上的正确性。设计必须将加密证据与持有者通知、组织权威检查、外部观察和回顾性审查结合起来。

不可变的历史也不应阻碍修正。虚假记录可能需要逆转，个人数据可能需要受保护的处理，法院可能合法指示更改。正确的模式是仅追加的修正，保留先前状态的证据并指明更改的权威，并具有适合材料的访问边界。静默删除是敌人；可问责的修正是治理的一部分。

独立副本需要独立判断

外部保管只有在减少共同故障时才有用。通过一个身份提供商、一个云控制平面和一个安全团队管理的三个副本并非三个独立见证。连续性设计应映射基础设施、凭据、人员、软件和法律控制。独立性是特定于目的的：存储保管人在技术上可能是分离的，但仍依赖相同的官员来验证有争议的发布。

至少一个关键注册局状态的受保护副本应保存在常规提供者的管理域之外。至少一个历史见证人应通过生产管理员无法静默压制或重写的通道接收检查点。至少一个事件审查组应能够比较这些材料，而不从属于控制失败的行政人员。这些分离制造了摩擦，而这正是关键。

资源持有者也应贡献证据。高影响力的更改可以通过多个预先建立的渠道产生通知，包括一个不用于普通登录的受保护联系人。持有者可以保留识别资源范围、交易顺序和接受结果的收据。在恢复期间，这些收据并非自动具有决定性，因为持有者账户可能被入侵，但它们提供了该机构所代表内容的外部副本。

公共观察可以支持重建。带日期的 RDAP 或 WHOIS 响应、路由注册快照、反向 DNS 状态和 RPKI 存储库观察可以显示更改何时变得外部可见。它们的证据权重各不相同。搜索引擎缓存不等同于经过认证的注册局收据。恢复团队应根据完整性、收集方法、完整性和独立性对来源进行排序，而不是将每个观察混合成一个无差别的档案。

独立判断意味着接受分歧。一个保管人可能持有另一个遗漏的检查点。持有者收据可能与内部批准相冲突。公共响应可能反映缓存而非当前状态。对账方法应保留这些差异，说明为何偏好一种解释，并标记未解决的记录以进行有限保护。强制一致可能恰恰摧毁理解入侵所需的证据。

NRS 可以通过发布基于来源的连续性保管人比较（针对通用导出、保留、保密和演习标准）来使政策案例更加实用。它不应鉴定、认证或担保保管人。任何正式任命或资质属于负责的 RIR、依法指定的权威机构或具有明确授权的独立流程。NRS 可以敦促这些机构披露保管人是否展示了分离、恢复、披露控制和与独立审查的合作，以便成员可以看到实质性集中并倡导对关键资源进行额外保护。

恢复需要明确的上次已知良好边界

每个完整性事件最终都面临一个艰难的决定：机构从何时起可以信任自己的历史？答案可能因系统和资源集而异。被入侵的管理员可能已经访问了成员门户，但未访问 RPKI 离线 CA。恶意发布可能影响公共目录输出，而底层分配账本保持完整。被盗的签名密钥可能危及一个证书分支，而不改变持有者记录。

响应团队应声明一个上次已知良好边界，包括理由、范围和信心。它应识别最早可能的入侵、最强的未受损检查点、涵盖的系统以及剩余的不确定性。该边界是临时性的且可审查。新证据可能使其更早或允许更窄的受影响集合。将其视为基于理性的决策比将单一恢复时间戳呈现为客观事实更为诚实。

边界后的交易应分类。有些可以自动重放，因为其授权被独立确认且不依赖于有争议的状态。有些需要通过受保护的联系人进行持有者重新确认。有些需要文件或法律审查。有些必须保持暂停，因为竞争性声明无法安全解决。目标是恢复合法变更，同时防止攻击重新进入干净环境。

依赖关系追踪至关重要。如果一个虚假联系人批准了转移，而新账户后来更改了反向 DNS 并创建了路由授权，仅逆转联系人会使后果性操作保持不变。注册局应能够识别由每个有争议事件影响的后继操作和外部服务。这种能力应在事件发生前设计，而不是在压力下通过临时查询拼凑。

批准重建的权威必须受到限制。事件响应者可以推荐技术发现。指定的连续性决策组可以接受无争议的重放、实施临时保护并转交所有权争议。它不应利用紧急状态重新分配资源或解决无关的索赔。每个例外决定都应过期、接受独立审查并保留受影响持有者质疑它的权利。

干净环境也必须从干净的权威开始。在重用被入侵的身份账户、API 密钥、签名凭据或管理员设备的同时恢复数据会破坏演习。恢复应建立新的特权凭据、验证现任官员、轮换依赖的秘密、重建监控并控制对旧证据的访问。旧环境保持隔离以进行调查，不应因为熟悉而悄无声息地再次成为生产环境。

公共目录服务可以在账本之前揭示差异

RDAP 和 WHOIS 通常被视为权威注册局下游的发布表面。在完整性事件中，它们可以同时成为受影响的服务和外部证据。更改的持有者名称、角色联系人、状态或备注字段可能是未经授权状态的第一个可见迹象。来自多个位置的查询和保留的响应可以确定差异出现的时间。

连续性测试应比较权威端点、缓存和备用发布服务之间的响应。测试应包括一个看似有效但未经授权的联系人更改、在同一时间段内处理的合法更改以及一个存在预先争议的资源。备用运营者必须重现接受的状态，而不将这些区别扁平化或暴露受保护的证据。

公共可用性并非唯一标准。两个响应性的 RDAP 端点标识不同的控制组织，可能比一个宣布的中断造成更多伤害。连续性领导者应决定哪个端点承载体、如何标记或撤销过时服务、以及缓存如何接收修正。临时不确定性应清晰沟通，而不是隐藏在正常状态页面背后。

注册数据也推动正式协议之外的运营信任。网络运营者、滥用团队、交易对手和调查人员使用公共联系人来联系负责组织。一次选择性的完整性攻击可以重定向报告、延迟事件遏制或制造虚假的放弃外观。恢复优先级应考虑这些影响，而不仅仅是衡量注册局自身的交易服务。

Number Resource Society 倡导的连续性模型可以减少对一个发布运营者的依赖，但如果没有排序权威，也可能产生矛盾的答案。负责的 RIR 或依法指定的替代者必须维护一个连贯的接受状态和用于提供者更新的签名序列。授权提供者应该是可替换的，但它们不应独立发明当前真相。NRS 可以记录差异并根据有效的授权书代表受影响的成员；它不得维护接受的状态。可移植性是共同权威纪律内的服务选择，而非竞争性账本。

外部监控应针对语义上重要的差异发出警报，而不是每个无害的格式更改。持有者身份、资源范围、状态、权威联系人、转移限制和委托状态应获得更高优先级。监控器应区分预期传播和无法解释的差异，并保留足够证据以备后续比较。它们的警报应送达注册局和受保护的持有者联系人（适当时）。

反向 DNS 和路由记录扩大了爆炸半径

互联网号码注册局不仅仅是成员数据库。其接受状态可能影响反向 DNS 委托、路由注册信息、转移处理和路由安全认证。这些服务具有不同的架构和刷新行为。一个恢复主账户表但忽略依赖权威的网络连续性计划可能使攻击的互联网面向后果保持活跃。

反向 DNS 更改可以重定向与地址空间关联的名称或中断操作解析。恢复团队需要委托更改、父端操作和持有者授权的版本化说明。在不确定性期间，保留先前稳定的委托可能比接受新请求更安全，但决定应取决于证据和影响。全面冻结可能损害需要紧急更正的合法运营者。

路由注册对象可以通过多种机构路径创建，并以不同级别的依赖使用。恢复应识别哪些对象源自受损的注册局权威、哪些在其他地方维护、以及哪些公共镜像仍携带过时状态。备用运营者不应声称纠正每个外部路由数据库。它应发布权威更正、通知相关运营者并跟踪可观察的收敛。

RPKI 提出了更严格的问题，因为签名产品和证书层级具有加密后果。如果普通注册局记录被更改但 CA 密钥保持安全，响应者仍需要确定虚假状态是否导致了授权签名。如果托管签名服务或 CA 管理被访问，事件可能需要证书轮换、对象审查、撤销和依赖方观察。仅数据库恢复无法撤销已发布的签名产品。

RPKI 功能的分离可能有帮助。离线或单独管理的 CA 密钥、独立存储库监控和持有者可见的路由授权在受损注册局应用程序之外创建了证据。它们并不能使系统免疫。父 CA 仍然可以撤销、延迟或重新发布，受损的托管服务可能在有效权威下签名。连续性规划必须映射实际控制，而不是假设密码术自动证明合法性。

RIR 和依法授权的连续性运营者应根据恢复风险对依赖服务进行分类。公共目录发布可以从仔细对账的快照恢复。高影响力证书操作可能需要更强的批准和密钥审查。反向 DNS 更改可以针对无争议的持有者进行，但暂停受影响的资源。NRS 可以发布一个研究框架来比较这些计划并倡导透明的保障措施，但它不决定哪些服务恢复。该计划应在安全的地方保留服务，同时拒绝让绿色状态指示器的压力压倒关于权威的不确定性。

事件响应者必须准备好质疑机构

许多事件响应服务围绕恶意软件遏制、端点证据、凭证盗窃和基础设施恢复设计。注册局事件增加了一个基本问题：委托响应的客户本身可能无法说明哪些参与者或记录值得信任。响应者需要明确的授权，在特定条件下保留证据并向受损管理链之外报告发现。

该授权应提前达成一致。一个严重的完整性事件可以授权直接向独立的董事会委员会、连续性受托人或审查小组报告。触发条件应足够具体以防止常规绕过管理层，但足够广泛以涵盖涉嫌高管凭证受损或发现被压制的情况。响应者应知道他们可以联系哪些外部保管人以及如何获取受保护材料。

专业技能很重要。团队需要数字取证、数据库历史分析、身份和访问专业知识、RPKI 知识、公共服务观察以及对注册局权威的理解。没有一个单一的承包商可能拥有所有这些能力。演习应建立这些角色如何共享证据、避免污染系统以及在没有一个学科主导其无法回答的问题的情况下做出决策。

资源持有者需要代表。完全由机构进行的调查可能忽略外部收据、公司变更或运营后果。一个受保护的持有者联络人可以获取确认并解释临时限制。它不应不加区分地披露调查细节或允许大声喧哗的索赔人凌驾于证据之上。公平参与提高了准确性，而不会将事件处理室变成成员会议。

公共当局可能拥有合法角色，特别是在涉及犯罪访问、个人数据、关键基础设施或法院命令的情况下。它们的参与不应将常规号码资源政策转移给国家安全机构。注册局应保持适用的报告和证据义务，同时维护全球运营中立性。紧急合作必须限定在事件范围内，在适当层面透明且可审查。

机构还应计划首次取证结论错误的可能性。早期指标可能错误地将变更归因于攻击，而罕见的行政异常可以解释它，或者可能遗漏内部参与。决策应记录信心和可逆措施。临时保护一个有争议的资源通常优于基于不完整技术证据进行永久转让。

迁移演习必须假设主运营者在证据上可疑

大多数灾难恢复测试询问主环境失败后是否能启动备用环境。更苛刻的测试询问当主要机构的最新记录、凭据和解释无法信任时，另一个依法授权的运营者是否能承担有限服务。NRS 应倡导该测试并发布关于 RIR 系统是否在 2027 年底前完成它的证据；RIR 及其授权的连续性运营者必须运行它。

演习应使用复制真实复杂性的合成记录，而不触及实时的持有者权威。它应包括分配和指派、遗留证据、组织合并、委托联系人、反向 DNS、公共目录输出、路由注册条目、托管和委托 RPKI 关系、待处理转移和预先存在的争议。一些变更是合法的，一些是恶意的，一些是模棱两可的。

主团队不应向接收运营者透露答案密钥。外部保管人通过商定的发布流程提供受保护的导出、检查点和持有者收据。公共监控器提供观察到的状态。事件响应者提供有限的入侵时间窗口。接收运营者必须建立上次已知良好边界、对后续事件分类、构建干净环境并发布有理有据的对账报告。

测试应衡量的不仅仅是经过的时间。它应统计检测到的损坏事件、保留的合法事件、受保护的有争议事件、追踪的后继操作、被拒绝的凭据、解决的公共差异以及恢复的依赖服务。它应记录响应者依赖场景假设受损的一个公共系统的频率。如果来自真实事件中不可用的特权知识，无法解释的正确答案不应算作成功。

迁移应包括回滚。如果备用运营者的重建被证明错误或其环境失败，权威必须返回或再次移动，而不重新激活受损凭据。测试应显示谁可以命令该操作、公共服务如何识别当前运营者以及证据如何保持完整。一个自身无法被替换的替代者在最糟糕的时刻创造了新的集中。

独立观察者应发布有用的摘要。敏感的攻击细节、个人证据和确切的防御架构可以保持限制。公开报告应识别场景类别、涵盖的系统、假设、完成时间、主要故障、补救责任人和剩余风险。成员需要证据表明连续性得到了实践；攻击者不需要每个控制的目录。

NRS 应倡导服务选择与连续性权威之间的分离

Number Resource Society 可以作为倡导和成员代表机构做出贡献，而非作为额外的注册局提供者。其最强有力的提案将呼吁普通注册局服务具有可移植性，而连续性证据和紧急决定仍保持在任何一个提供者的单方面控制之外。NRS 可以研究设计、召集受影响的运营者、发布比较并呈现成员关切。它不能运营注册局、持有接受的状态或行使紧急权威。

根据该提案，RIR 或其他依法授权的注册局运营者维持持有者关系并处理授权变更。独立任命的保管人可以接收受保护的导出和历史承诺。外部监控器可以观察公共状态。根据有效的法律和治理授权创建的连续性委员会可以授权有限的发布和替代服务。独立审查者决定有争议的权利，而事件响应者进行调查而不成为最终裁判机构。NRS 仅在该成员的有效授权下才能在这些流程中支持或代表成员。

这些角色不应不惜代价地始终由不同的法律实体持有。过度碎片化可能导致延迟和模糊。要求是没有任何普通入侵赋予单个参与者更改资源、重写历史、销毁每个副本并判断由此产生的争议的能力。分离应遵循决定性的权力，并得到经过测试的沟通支持，且在角色意见不一致时有明确的优先级。

NRS 应避免将分布呈现为保证。多个授权运营者可能共享一个软件供应商、身份服务、云环境或连续性保管人。一个共同漏洞可能同时影响许多提供者。负责任命或监督这些运营者的机构应要求依赖关系披露、聚合集中度报告以及禁用共享组件的演习。NRS 可以分析公共证据并倡导向成员披露，但它既不是认证机构也不是强制性运营申报的存储库。可见的提供者数量是弹性的弱指标。

成员权利仍然核心。持有者应收到经过认证的收据、维护受保护的恢复联系人、获取其相关历史、质疑例外操作并在不失去认可权威的情况下移动服务。在网络事件期间，这些权利可能暂时受到限制以防止攻击者移动，但限制应针对特定资源、基于证据、有时间限制且可审查。

该模型是积极的，因为它使机构合法性变得可测试。NRS 不需要声称现任 RIR 粗心大意或诉讼不再重要。通过研究、公开比较和成员倡导，它可以展示为什么一个现代号码资源机构应能同时经受住可见的治理失败和悄无声息的腐败。该标准应可供 RIR 采纳和独立审查；它不是 NRS 运营的服务，也不应成为机构竞争的载体。

保证报告必须揭示完整性问题

安全认证和保证报告可以确立特定控制措施在一个时期内已设计或运营。它们是有价值的证据，特别是当范围、例外和测试清晰时。它们不应被转化为注册局数据正确的总体声明。利益相关者需要知道哪些服务、身份、备份控制、变更历史和恢复演习实际经过了检查。

公共保证应以简单语言说明完整性模型。注册局是否维护受保护的交易历史？外部保管人多久接收副本或承诺？普通管理员能否更改保留期？包含了哪些依赖服务？是否测试了从疑似入侵边界的恢复？有争议的记录如何处理？这些问题揭示准备状态而不要求敏感配置。

演习指标应包括检测时间、遏制时间、最早可信边界、对账持续时间、自动重放事件的比例、需要持有者确认的数量、保持争议的数量、公共服务差异和收敛时间。它还应收录失败的外部存款、缺失的检查点、过时的受保护联系人和未测试的服务依赖关系。分布比有利的平均值更重要。

接近失败应得到受保护的审查和汇总披露。一次失败的备份、无法解释的管理更改或不一致的公共响应可能在重大事件前揭示弱点。工作人员和成员应有安全的报告渠道。对举报人的报复本身就是治理失败，因为它压制了机构了解完整性风险的能力。

声明应带有日期。“定期测试”可能意味着上周或四年之前。“场外”可能意味着同一凭据下的独立建筑。“不可变”可能意味着管理员在 30 天内防止删除，而管理员可以更改策略。精确的描述让成员和审查者评估保护，而不是依赖安慰性的形容词。

诚实的报告可以承认失败。如果演习无法对账几个合成记录，机构应保留发现、保护受影响的设计并在修正后重新测试。隐瞒受控的失败会牺牲演习的目的。信心来自实际的学习，而不是声称成功的不间断序列。

2027 年的验收测试应难以通过

最低限度的测试从治理开始。董事会或同等机构批准完整性威胁模型、定义受保护的权威、任命独立的演习领导者并记录谁可以宣布主要状态可疑。与保管人、备用运营者和响应者的合同允许必要的发布，同时保持保密性和审查。

第二个测试是证据性的。机构生成一个受保护的重要事件序列、独立持有的副本、可验证的备份谱系、外部观察和当前权威联系人。评估者确认普通生产特权不能静默重写每个来源。在场景禁用主要身份系统和最新备份后，至少一个副本和一个见证人保持可用。

第三个测试是重建。接收团队识别受影响的时间段、区分合法和恶意更改、追踪下游影响并说明不确定性。在决定冻结前，它不接收答案密钥。虚假信心对结果不利：错误地宣布恶意事件有效比保护一个模糊事件以供后续审查更为严重。

第四个测试是运营性的。干净服务以有序的权威返回。公共目录响应收敛，反向 DNS 状态正确，路由注册修正发布，RPKI 后果根据单独的较高保证决策处理。受损凭据不起作用。合法持有者可以联系支持并质疑限制。未受影响的资源安全继续。

第五个测试是机构性的。紧急权力到期。独立审查者检查决定。持有者收到适合其角色的更正和解释。公开报告说明测试内容和失败内容。补救措施有名有姓的负责人和日期。第二次演习证明发现实际得到解决。

通过不应意味着零中断或完美重建。一些不确定性是现实的，特别是对于遗留记录。通过意味着不确定性被识别、限定和治理；干净权威可与受损权威区分；服务可以移动而不会将紧急运营者转变为资源权利的新所有者。

连续性应保留正当依赖，而不仅仅是服务

互联网号码注册局的合法性不仅仅来自技术运营。网络和公众依赖其记录，因为人们期望机构应用公认的规则、保存历史、验证更改和纠正错误。网络事件攻击了这种依赖基础，即使没有路由器立即失去可达性。

从 2020 年到 2027 年的这段时间，使破坏性网络风险、离线备份、经过测试的恢复和数据完整性成为关键服务领域董事会的常规关切。在号码治理中，公共辩论也围绕机构连续性和可能的替代运营而尖锐化。这些线索现在应该交汇。紧急运营者需要值得信赖的状态；值得信赖的状态需要在紧急情况之前有独立证据。

当前的优先事项不是预测哪个注册局将受到攻击或量子般的灾难何时到来。而是移除一个薄弱的假设：最新数据库的存活等于合法权威的存活。每个严肃的连续性计划都应能够解释为什么其恢复的状态受到信任、哪些证据可以反驳它、以及当事实仍不完整时谁有权做出决定。

NRS 可以通过研究签名历史、外部保管、持有者收据、依赖关系映射和以完整性为导向的迁移演习，然后发布基于来源的采用情况比较，来倡导一个建设性基准。现有的 RIR 和授权的连续性运营者必须实施并测试保护措施；独立审查者应评估有争议的结果。安全不应依赖于机构品牌。共同的验收测试可以改善整个号码资源系统。

下一次注册局故障可能仍然始于法庭、银行账户或董事会会议室。它也可能始于一个被盗的会话和一个过于合理而无法触发警报的更改。对第二种情况的准备也将加强第一种：更好的历史记录、独立副本、有限紧急权威和经过测试的迁移使任何连续性决策更具辩护性。

指导原则简单但要求严格。可用性回答服务能否说话。完整性回答是否有人应该相信它。一个只能恢复前者的注册局没有保留其公共功能。只有当机构能够通过独立证据和实际修正展示为什么恢复的号码资源权威记录值得依赖时，连续性承诺才算完整。

证据与延伸阅读