ICANN 的缓解指标计量 DNS 观测，而非处置动作

摘要

ICANN 的 Time to Mitigation 是受支持信誉拦截列表所报合格域名从首次到最后一次活跃 DNS 解析的估算时长，不是从报告到实际处置的精确用时。
在未来按注册商、注册局或 API 输出比较前，应分列报告进入、监测启动、最后活跃解析与状态确认四个时点，并展示状态原因、排除项和不可归责边界。

一个域名最后一次返回普通 IP 地址之后，系统还要取得足够证据才能确认状态。也就是说，“缓解时间”这只表的表面终点，可能早于系统确认缓解的时刻，更不等于某个责任方真正采取动作的时刻。

这是 ICANN 9 月 3 日为 Domain Metrica 上线的新能力中最值得保留的治理区别。新指标名为 Time to Mitigation，简称 TTM。它提供有用的 DNS 活跃时长估算，却不能单独回答“谁在何时完成处置”。

Domain Metrica 从受支持的信誉拦截列表接收域名。ICANN 明确说明，进入列表只是信号，不代表 ICANN 已独立核实存在安全事件。不同供应方的准确率、覆盖范围、收集方式和分类能力也不相同。

对于符合条件的二级域名，平台的运行目标是：至少 95% 的新报告在取回后五分钟内开始监测，此后通常每五分钟查询一次 DNS。不过，列表报告时间和监测启动时间都不会自动成为 TTM 的起点。

按照 ICANN 的详细问答，起点是系统第一次观测到“活跃解析”：域名返回至少一个 A 记录；若无 A 记录，则返回 AAAA 记录；返回地址还不能被识别为已知 sinkhole。

这项定义只描述 DNS。成功解析不能证明网站、邮件、恶意程序服务器或其他应用仍可用。五分钟采样也不是连续监测，两个采样点之间发生又撤销的变化可能看不到。解析器位置、缓存、过滤、限速和故障都会影响结果。

因此，域名可能在报告之后一段时间才出现首次可见活跃。如果整个监测期从未观测到活跃解析，系统无法给出该时长。“无法估算”不能写成零。

若以 DNS 移除作为缓解原因，Domain Metrica 要求连续三次得到 NXDOMAIN。按五分钟的通常频率，从第一次到第三次一般跨越约十分钟。这三次结果用于确认分类，但不会计入 TTM；估算的终点仍是此前最后一次活跃解析。

Sinkhole 的路径不同。域名即使继续返回成功 DNS 响应，只要地址命中平台认定的已知 sinkhole，也可被分类为已缓解。最后一次返回非 sinkhole 地址是活跃时长终点，首次命中 sinkhole 则另行记录。

平台还有“Mitigated: Unknown”。它表示现有数据支持“已缓解”分类，却无法把方法确定为 DNS 移除或 sinkhole，并不是声称没有采取任何动作。

这些状态都不识别动作主体。注册商、注册局、注册人、托管方、DNS 服务商、安全团队、执法机关、域名到期或其他原因，都可能改变系统看到的状态。指标也不能证明与该域名有关的全部滥用已经结束。

另一种结果根本不是缓解：两个月内始终未满足条件，监测会终止，状态为“Unmonitored: Aged out”。系统可能仍有一段活跃时长估算，但不能把该案例算入成功缓解。

ICANN 公布的方法比指标简称谨慎得多。平台说明页也提醒，信誉列表命中不是 DNS 滥用事件的最终证明。真正的制度风险，会在单个域名的观测值被做成机构比较时出现。

公告称，后续版本可能加入首页可视化、注册商与注册局专用视图，以及供外部流程使用的 API。这些功能有助于发现趋势，也可能让更短的 TTM 被直接理解为某家机构“处置更快”。但报告源、监测起点、合格样本、状态组合和缺失案例不同，都会改变比较含义。

每一行比较记录应同时保留四个时点：信誉列表报告进入证据链的时间；Domain Metrica 启动监测的时间；最后一次非 sinkhole 活跃解析时间；满足连续响应或其他证据后确认分类的时间。

同一行还应带上方法版本、报告源、采样频率、二级域名资格规则、A/AAAA 处理、状态及原因、无法估算数量和 aged-out 数量。按注册商或注册局汇总时，分母必须说明哪些案例没有进入结果以及为什么。

这不要求公开受许可限制的列表内容，也不要求披露调查材料。它只是要求未来的比较界面保留 ICANN 自己已经公开的区别。