摘要

  • OpenINTEL 是由特文特大学、SIDN、NLnet Labs 和 SURF 联合运营的主动 DNS 测量平台，而不是注册局、解析器或被动 DNS 公司。
  • 其主页报告称每天测量约 3.08 亿个域名，每天产生 59 亿个数据点，自 2015 年开始常态化运行以来已累计观测 13.6 万亿次。
  • 纵向一致性创造了平台的价值，而来源选择、观测点、查询方式、软件版本、方法变更和缺失数据控制则界定了每一项结果。
  • OpenINTEL 不观测用户需求，也不观测 DNS 的每一种状态；部分数据集在非商业许可下开放，其他材料则受区域访问合同控制。

特文特大学的一个系统成为共享的国家研究基础设施

OpenINTEL 的实施始于 2014 年的特文特大学。第一次完整日度运行证明，这套流程能够在重复执行所需的运营时间窗内查询、处理和存储一个非常庞大的名称空间。常态化测量始于 2015 年 3 月。从实验转向日常系统，造就了该档案的核心价值：连续性。

该项目由 Anna Sperotto、Mattijs Jonker 和 Roland van Rijswijk-Deij 等研究人员创立，他们当前的项目角色涵盖研究领导、数据架构、测量设计和资金。运营模式超出了单一大学。SIDN 带来了注册局专业知识和持续支持。NLnet Labs 作为 DNS 软件和研究伙伴加入。SURF 提供了研究网络和基础设施背景。这四家机构现在联合运营该项目。

不应将这种安排描述为一家独立公司。不存在经核实的 OpenINTEL 公司，没有股东、合并收入或估值。人员、硬件、合同、资助和数据权利都属于合作机构。该项目的治理在公共层面不如基金会董事会正式，但其机构多样性降低了对单一实验室的依赖。

每个合作伙伴还对 DNS 提供了不同的视角。大学重视可重复研究与学生工作。注册局了解区域数据、运营商关系以及访问协议的限制。DNS 软件组织带来协议与实现知识。国家研究网络可以支持持续测量所需的算力与连接。

这种模式创造了边界。合作伙伴可以为设备和人员提供资金，而无需公布单一项目预算。根据合同获得的区域数据可以被测量，但不能自由再分发。贡献者页面在人员跳槽后可能过时，因此它们对项目历史可靠，对无关的当前职务则不那么可靠。共同运营并不意味着所有机构资产都是共同所有。

OpenINTEL 从实验室系统发展为共同基础设施，也改变了其服务义务。研究人员依赖数据连续性。运营商需要可识别的流量和报告损害的途径。数据用户需要稳定的格式和访问条款。存储迁移必须保留历史。项目必须像一座长期观测站那样运作，而不是论文的临时数据集。

第一个完整测量日是一个技术里程碑。决定持续测量十年，则是一项机构成就。

DNS 回答现在，却忘记过去

DNS 查询请求的是通过特定路径可获得的当前答案。响应可能标识名称服务器、地址、邮件系统、证书相关记录或其他配置。明天，运营商可以更改它。先前的状态可能仍在缓存中保留一段时间，出现在某个提供者持有的日志中，或从公众视野中完全消失。

这种行为适合一个实时命名系统。DNS 的存在不是为了向历史学家提供完整账本。它是在分布式权威下映射名称和其他标识符。注册局、注册商、权威运营商、递归解析器和应用程序各自保留不同证据。没有任何机构天然地保存跨多个名称空间和记录类型的纵向视图。

这种缺失很重要。研究人员想知道 DNSSEC 部署如何变化、托管或邮件基础设施何时迁移、权威服务变得多么集中，以及某项政策或漏洞是否改变了行为。安全团队希望重建某域名在事件之前的解析情况。政策制定者希望获得对提供者依赖的证据。一次性扫描可以描述一种状态；它无法揭示转变过程。

OpenINTEL 的建立，就是为了通过重复的主动测量创造这种时间证据。项目获取或构建名称和地址范围列表，按计划发送已定义的 DNS 查询，并将响应连同时间戳和元数据存储起来。重复这一过程，研究人员就能在数天和数年间对同类对象进行比较。

“同类”这个词需要严谨。来源列表会变化。新的记录类型会被加入。软件和基础设施会升级。有些日子并不完整。权威服务器可能对项目限速或屏蔽。响应可能因观测点、任播位置或时间而异。纵向价值取决于记录这些变化，而不是把档案当作一张完全统一的表。

因此，OpenINTEL 的核心贡献不只是扫描量。全网扫描器也能产生海量数据集。它独特的资产是一台长期运行的仪器，其方法、合作伙伴和数据产品足够稳定，使“变化”本身成为研究对象。

这种优势只有在限定边界内才支撑“DNS 的日常历史记录”这一称号。OpenINTEL 保存的是它被配置去进行的测量的历史。它不记录每一次 DNS 查询、每一个域名或用户看到的每一个答案。档案庞大到恰恰容易让不严谨的语言把它说成无所不包。它的可信度取决于抵抗这种诱惑。

目标列表决定了档案的视野

主动 DNS 测量需要一个目标总体。OpenINTEL 可以接收源自区域文件的域名列表、证书透明性名称、流行度列表、国家代码顶级域名数据、地址范围以及其他来源。每个来源回答不同的研究问题，并带有不同偏差。

在合同允许的前提下，注册局区域文件可以提供该顶级域下委派名称的广泛覆盖。它可能遗漏其他名称空间中的名称，也无法说明某域名是否承载活跃服务。证书透明性日志揭示与公开记录证书相关的名称，偏好启用 TLS 的服务，并暴露区域列表中不存在的主机名。流行度列表强调在不透明或不断变化的方法下被频繁访问的名称。反向 DNS 测量从地址空间而非名称开始。

合并来源会扩大覆盖范围，也带来重复计算或构成变化的风险。主页上“每天测量 3.08 亿个域名”这一数字，应理解为项目当前已配置域名观测的指标，而不是 3.08 亿个唯一活跃网站。一个域名可能是停放域名、已委派但无内容、在多个列表中重复出现，或用于邮件和基础设施而非网站。

来源选择影响纵向解释。假设一个新顶级域被加入测量。观测记录总量上升是因为仪器扩大，而不是 DNS 有机变化。流行度列表可能修改方法并制造表面上的变动。证书透明性覆盖可能随签发实践变化而增加。分析人员需要版本化列表和纳入标准。

当比较有边界时，项目方法仍能产生稳健趋势。研究人员可以跨时间考察稳定的名称子集，控制新增来源并对来源类型分类。档案的规模使稀有事件和基础设施关系得以研究，但庞大数字不能弥补未定义总体的问题。

列表治理也涉及商业和政治。注册局可以根据限制再分发的协议允许测量。运营商可以反对负载。一个致力于开放科学的项目不能简单发布它无权共享的数据。因此，档案既有开放层，也有受控层。

任何 OpenINTEL 结果的第一问题都应当是：哪些名称或地址有资格在那些日期被测量？答案不是背景细节。它定义了论断本身。

OpenINTEL 从荷兰的机构基础出发测量名称和地址空间，并使用全球来源列表与合作关系。这使它拥有全球性研究对象，但并不自动代表每个地区或每种用户体验。

区域访问在各注册局之间有所不同。一些国家代码列表较全面，另一些由公开来源汇编，还有一些不能再次分发。证书派生名称偏好使用公开证书的服务。某个测量观测点可能收到与其他大陆不同的任播答案。水平分割和按地理位置区分的 DNS 可能使两种观测都成立。

因此，比较国家的研究人员需要把域名的注册标签与其运营商、用户和基础设施的所在地分开。一个.br名称可以托管在欧洲；一个通用顶级域可以服务本地机构。按后缀数名称不等于测量国家依赖。

复制和互补观测点可以检验地理敏感性。结果不同的地方，差异本身就是数据，而不是需要平均掉的麻烦。它可能揭示任播策略、内容本地化或屏蔽。

当覆盖缺口被明确绘制出来时，项目的公共利益角色最强。来源协议较弱的地区不应消失在全球百分比中。只有当用户知道仪器在哪里看得不够清楚时，历史记录才能减少知识不平等。

数十亿次查询只有在背景存续时才有意义

测量流程把目标列表转化为计划查询。工作进程针对已定义的记录类型发出请求、接收响应、规范化字段，并把观测连同时间戳和元数据存储起来。在 OpenINTEL 报告的规模下——每天约 59 亿个数据点——运营挑战不是发送一个 DNS 数据包，而是在不压垮权威基础设施、不丢失结果背后条件的情况下可靠完成日度循环。

工作进程需要速率控制、重试策略和清晰的来源标识。超时可能意味着没有服务、丢包、限速、瞬时故障或刻意屏蔽。过于激进的重试可能制造项目本来试图避免的损害。向运营商提供公开说明和联系途径，使流量可以追责。

响应必须跨多种记录类型和 DNS 边缘情况解析。名称可能包含不寻常编码。委派可能残缺或循环。DNSSEC 会增加签名、密钥和否定存在记录。截断可能使查询从 UDP 转向 TCP。权威服务器可能按来源位置返回不同答案。规范化必须在保留含义的同时，避免把每个数据包变成无法管理的格式。

系统还需要“完成”的定义。一次日度运行可能对大多数目标完成，却漏掉一个子集。只存储成功响应会使缺失不可见。研究人员需要知道哪些查询被尝试过、哪些失败，以及平台中断是否影响了某个时期。缺失记录不应自动成为域名删除该记录的证据。

OpenINTEL 主页报告自 2015 年以来累计 13.6 万亿个数据点。这个数字传达了规模，但仍属于项目自行报告。其分析价值取决于“数据点”在不同产品和时间中如何定义。数字可能因更多域名、更多记录类型或更频繁观测而增长。用户应查阅相关数据集方法论，而不是把累计总量当作 DNS 增长的简单度量。

在如此规模上，工程决策塑造研究。分区、压缩、索引和存储格式决定哪些查询实际可行。数据迁移可能改变表示。质量控制需要识别不完整的运行。档案同时是科学仪器和数据平台。

正向 DNS 揭示配置，而非应用行为

正向测量从一个名称开始，查询选定的记录。委派数据可以显示哪些权威提供者在服务该域名。地址记录可以显示托管或 CDN 关系。邮件交换记录暴露邮件基础设施。DNSSEC 记录指示部署和算法选择。其他类型揭示服务与策略配置。

重复观测使转变可见。一个域名可以从一家权威提供者迁到另一家，增加 IPv6、启用 DNSSEC 或更换邮件服务。在大规模上，研究人员可以估计采用率和集中度。他们可以考察变化是渐进发生，还是围绕某个事件发生。

返回的记录仍然只是某个时间和观测点的观测。A 或 AAAA 地址不能证明网站有响应、该地址向用户提供相同内容或应用是安全的。邮件交换不能证明投递成功。DNSSEC 签名可能存在，而验证在其他地方失败。应用层测试需要单独方法。

CDN 和任播使解释复杂化。权威或递归响应可能因来源位置而异。域名可能返回为 OpenINTEL 观测点选择的地址，而不是其他地区用户收到的地址。水平分割系统故意对内部和外部客户端给出不同答案。项目的测量并非错误；它只是其中一个视图。

缓存增加了另一种区分。OpenINTEL 的主动系统可能通过定义的解析器路径或权威基础设施查询，取决于数据集。它不观测每个递归解析器缓存了什么。用户可能在 TTL 到期前收到较早的值。档案中的变化可能先于或晚于用户可见的转变。

当研究问题与方法匹配时，平台的价值最强：即项目观测到的已配置 DNS 答案如何变化。当答案被用作流行度、应用成功或用户体验的代理而不具备额外证据时，其价值就被削弱。

反向 DNS 和地址空间产品把命名与网络管理连接起来

反向 DNS 从一个 IP 地址出发，询问通过 in-addr.arpa 或 ip6.arpa 层级是否有与其关联的名称。OpenINTEL 扩展到 IPv4 反向测量，建立了又一大型纵向视图。该数据集可以揭示管理命名模式、基础设施变化以及整个地址空间中记录的存在情况。

PTR 记录不是谁在使用某地址或该地址提供什么服务的权威证明。地址持有者可能让记录过时、使用通用名称或委派反向区域。云和接入网络可能采用系统性命名。有些地址没有反向记录。这些数据可用于分类和变化研究，但不是通用的身份地图。

相对于 IPv6，测量 IPv4 反向空间是可行的，因为地址总体更小，并且可以在既定政策下枚举。IPv6 太大，无法逐地址穷举扫描。研究必须使用已分配前缀、已观测地址或其他目标选择方法。这一差异使 IPv4 方法不能在没有限定的情况下直接投射到新协议。

项目还发布 RIR 层和网络前缀产品。时序前缀排行榜试图在既定观测下对网络前缀排序。这些列表可以支持测量抽样和研究，但它们不是网络重要性的客观层级。一个前缀可能因为列表构造和服务总体而显得突出。商业价值、流量和用户数仍是独立的问题。

这些产品把 OpenINTEL 从域名观测站拓展为命名与寻址平台。它们也提高了谨慎标注的必要。“DNS 历史”可以涵盖域名记录、反向名称、证书派生目标和推断的区域变化，每种都有不同总体和节奏。

这种扩展在分析上很有价值，因为互联网基础设施连接了名称、地址和网络。一次托管迁移可能同时出现在正向记录和前缀关系中。反向命名可以提供运营背景。RIR 数据可以对观测分组。这种连接仍然是一个推断框架，而不是完整的归属账本。

Zonestream 缩小了每日快照与日内变化之间的差距

日度扫描记录了一种宽泛状态。DNS 可以在两次扫描之间多次变化。恶意活动可能激活后又消失。大型提供者可能分阶段迁移记录。配置错误可能在下次计划运行前被引入并修正。

Zonestream 及相关工作旨在通过推断区域变化、产出更接近变化时间的流数据，提供更面向事件的证据。这种方法补充而非替代每日档案。流可以识别快速转变；每日流程则提供广泛、一致的快照。

更快的测量带来负载和解释挑战。更频繁的查询会增加权威运营商的流量。区域来源的变化并不总与观测到的 DNS 答案变化含义相同。流中可能包含来自维护或自动化系统的突发数据。使用者需要区分原始事件和有意义的基础设施转变。

该产品显示 OpenINTEL 的架构已从单一批处理演进。项目最初证明了一次超大型日度运行可以完成，后来又增加了在不同时间分辨率下观测变化的方式。这拓展了用例，也使可比性更复杂。

研究人员应说明哪一级节奏支持其论断。日度数据集可以显示配置在不同日期之间存在差异。流可以显示中间序列。两者都不一定解释运营商为何行动。将它们与注册局、证书或事件证据结合，可以强化叙述。

Zonestream 也增加了持续可用性的运营重要性。缺失一次日度扫描会留下一个缺口。失效的事件流可能丢失难以重建的序列。冗余、重放和监控成为研究方法的一部分。

存储是项目最持久的产出，也是最大的义务

OpenINTEL 的档案之所以有价值，是因为昨天的 DNS 无法直接查询。一旦状态改变、缓存过期，重复测量可能只是项目的观测点确实看到了这一状态的唯一公开证据。这让存储和数据完整性成为核心基础设施。

十年规模的档案需要的不仅是容量。它需要版本化模式、校验和、复制、有记录的迁移，以及一种保留观测与方法之间关系的方式。一个没有迁移记录就被改名的列可能破坏可重复性。压缩变更可以降低成本，却会让旧工具更复杂。一个损坏的分区会移除任何新扫描都无法再生的证据。

保留造成财务压力。每天数十亿个数据点需要算力、网络和存储。公开来源没有披露合并年度成本。负担由合作机构和资助计划共同承担。随着档案增长，项目必须在保留原始细节、生成派生数据集和控制访问之间选择。

查询成本是另一个约束。研究人员可能想扫描数百万域名多年来的记录。允许无限制查询会压垮平台。下载产品和受控访问把工作分摊出去，但要求用户自行存储和处理数据。云端托管副本可以改善访问，也会带来成本和治理问题。

纵向完整性还取决于对“缺失”的保留。没有记录的一天，可能意味着该域名没有该值、查询失败、目标不在列表中或流程不完整。档案需要足够的对照数据来区分这些状态。否则，趋势可能只是仪器的产物。

项目的未来部分取决于机构是否继续资助这种不可见的工作。新记录类型和仪表盘吸引注意力。维护旧字节、文档和背景资料才创造历史资产。如果存储或专业员工流失，档案的连续性以后无法再买回来。

四家机构共享平台，却没有一份可见的预算

OpenINTEL 的组织韧性来自合作。特文特大学提供学术领导和研究人员。SIDN 贡献注册局知识和支持。NLnet Labs 带来 DNS 软件与运营专长。SURF 提供国家研究基础设施。这种组合比依赖一位首席研究员和一项资助的项目更强大。

这种模式在传统财务意义上也不透明。没有合并项目收入、支出或员工人数。硬件可能由一家合作伙伴资助，研究人员由另一家雇用，网络容量由第三家提供。公开页面标明角色，但不提供投票章程或资产登记册。

这不意味着项目没有治理。决策通过机构关系和核心团队进行。这确实意味着合作伙伴优先事项的变化可能影响平台，却不会表现为一次公司事件。一项资助结束、一台服务器到了更换年限，或一位专家转岗。档案可以在开发能力收窄时继续存在。

专业知识集中是一种风险。长期运行的测量系统会积累关于各种问题、数据迁移和运营商关系的知识。文档和接班与新增代码同样重要。只有超过一家机构能够运营关键组件时，合作才能分摊负担。

这种模式也塑造了对被测量运营商的责任。一个可见的项目身份和滥用报告渠道使权威提供者能够上报流量过大。在 DNS 社群中有地位的合作伙伴可以协商问题。随着规模和产品扩大，系统需要保持这种信任。

OpenINTEL 最好被描述为共享的研究基础设施。它的权威来自证据的质量与连续性，而不是对 DNS 的法定主张。它在组织仍可自由屏蔽或限制它的容忍下，测量一个分布式系统。

开放数据仍然依赖合同、许可和长期资金

OpenINTEL 促进研究访问，并按 CC BY-NC-SA 4.0 发布符合条件的数据集。该许可要求署名、限制商业使用并适用相同方式共享条件。其他材料仍受控，因为区域访问协议或来源合同不允许无限制再分发。

这种安排可能让那些听到“OpenINTEL”就假定每一个观测都可为任何目的自由下载的用户失望。项目名称描述的是一项研究承诺，而不是对每一项输入的所有权。注册局可以在设定条件的情况下允许测量，而不授予重新发布其完整区域派生数据的权利。

非商业限制支持学术共享，并限制某些行业再利用。公司可能需要单独协议才能用于商业产品。项目不发布通用商业许可或价格。用户应联系运营方，而不是假定访问条款可以从开放数据集推断。

受控数据仍然可以通过申请、机构协议或派生输出支持研究。这一过程引入选择和行政成本。有成熟隶属关系的研究人员比独立分析人员可能更容易获得访问。当底层数据集不能重新分发时，可重复性更难。

这种张力是结构性的。纵向 DNS 研究受益于广泛的来源访问。注册局和运营商有合同、安全和商业顾虑。违反这些协议的平台短期内可能发布更多数据，却会失去未来的访问。可持续的开放有时需要一条有记录的边界，而不是最大限度的发布。

对数据用户来说，正确做法是具体到数据集。注明来源、许可、覆盖范围和访问条件。不要把受控数据描述为公开。不要假定开放的派生表包含完整底层档案。数据治理是方法的一部分。

目前的开放数据集使用非商业知识共享许可，其他材料仍受来源合同控制。这支持学术工作，并防止人们简单假定所有档案内容对任何商业用途免费开放。

商业分析人员可能希望获得历史 DNS 证据，用于安全、市场研究或尽职调查。他们的需求可以帮助资助基础设施，也可能与注册局施加的限制和被测量运营商的预期冲突。付费路径需要把服务和支持与项目并不拥有的权利区分开。

合作伙伴可以提供派生聚合、受控研究环境或针对符合条件数据的协商许可。每种模式改变谁可以复现结果。从公共利益档案中构建的私有产品可能创造价值，却不回馈方法或修复。

治理问题不在于商业使用是好是坏，而在于收入安排是否保留纵向记录、尊重来源权利，并避免让最完整的数据只对资金充裕的用户开放。

OpenINTEL 的可持续性最终可能需要更正式的访问层级。这些层级的可信度将取决于透明的标准，以及受保护的公共基线。档案因共享研究而变得有价值。为其未来融资，不应让它的过去无法审视。

DNS 答案记录的是配置，而非意图或损害

大型 DNS 数据集诱使人们得出绝对结论。一条记录指向与某提供者相关的地址，于是就说该域名托管在那里。一个名称返回 NXDOMAIN，于是被宣布不存在。一个证书派生名称可以解析，于是服务被假定为活跃。每项推断都可能有用，也可能在特定情况下是错误的。

DNS 响应记录的是被查询的基础设施在测量条件下返回的内容。它不显示运营商为何这样配置。该地址可能是重定向、沉洞、停放页面或共享 CDN 边缘。应用可能拒绝该主机名。记录可能过时。瞬时服务器故障或限速可能产生表面上的缺失。

NXDOMAIN 意味着响应的 DNS 路径在当前状态下断言被查询的名称不存在。它不证明该名称从未存在或以后不会存在。委派错误和不一致的权威服务器可能产生不同结果。重复观测和直接权威检查可以提高置信度。

安全分析需要更谨慎。域名或地址的快速变化可能关联滥用，也可能关联正当的 CDN、故障转移和迁移。一条记录不能证明某域名是恶意的。打标签需要额外证据，例如内容、活动关系、注册信息和观测到的行为。

用户需求完全在主动测量之外。OpenINTEL 自己生成查询。它看不到用户请求某名称的频率、递归缓存提供什么内容，或哪个答案带来流量。被动 DNS 或解析器遥测回答不同的问题，并带有不同的隐私关切。

项目最强的分析文化，是把这些边界当作一等公民。庞大的档案可以支持更好的推断，因为模式和历史可用。它不改变单次观测的逻辑地位。测量仍然是解释的输入，而不是解释本身。

NXDOMAIN 响应可能表明某名称在相关 DNS 视图中不存在。超时可能表明服务器不可达、限速、丢包或刻意拒绝。SERVFAIL 可能来自验证、委派或瞬时运营问题。

纵向分析应保留这些类别，而不是把它们都归为“宕机”。一个从有效答案变为 NXDOMAIN 的域名，与一个间歇超时的域名具有不同历史。解析器或重试变更可能在没有任何运营商更改配置的情况下改变测量分布。

这种区分在安全和政策研究中尤其重要。不响应不是域名被移除或审查的证明。可能需要更多观测点、权威查询和应用检查。

OpenINTEL 的规模使错误分类具有重大影响。一个小的方法论选择可能影响数百万条记录。谨慎处理负面证据，是项目防止庞大档案产生过度自信结论的最清晰方式之一。

纵向论断取决于方法史和缺失观测

十年规模的数据集包含两种历史：DNS 的历史和仪器的历史。硬件被更换，查询软件改变，解析器被修复，来源协议扩大。2024 年新增的记录类型不能直接与 2018 年的缺失比较。新的重试规则可以提高完成率，同时改变慢服务器显得有响应的概率。

因此，方法版本化是数据的一部分。每个观测序列都应关联目标列表、查询类型、测量观测点、软件版本和已知运营事件。缺失日期需要明确标记。分析人员不应在某个工作集群故障或输入流迟到时，推断数百万域名发生了变化。

存储迁移后问题更难。新架构可能压缩重复字段、以不同方式规范化名称或重新分类错误。这些变更可以让档案更便宜、更易用，同时改变旧查询。保留原始或足够详细的源记录、迁移代码和验证样本，使研究人员能够区分 DNS 趋势与数据库转换。

可重复性不要求整个平台保持冻结。它要求有足够证据重建结果是如何产生的。发表的工作应标明数据集发布或访问日期、总体过滤器和代码。当合同条款禁止重新分发原始记录时，研究人员仍可以在协议范围内发表方法、聚合和验证检查。

OpenINTEL 与外部研究人员的合作及复制工作在这里很重要。第二套实现或独立测量不会产生相同答案，但差异可以暴露假设。在任播、屏蔽或列表许可使单一观测点结构性不完整时，复制尤其有价值。

档案的年龄增加了一次静默变更的成本。一个追溯应用的小解析修复可能改变多年的数据。放任错误可能使已知缺陷延续。负责任的做法是记录修正，尽可能保留原始状态，并说明结果基于哪个版本。

这是把基础设施与一堆文件区分开来的不引人注目的工作。平台报告的数万亿数据点，只有在未来用户能够分辨哪些点属于同一比较时才有意义。纵向科学是一种在与观测同等规模上保存背景的实践。

负责任的扫描必须对承担其成本的运营商保持可见

主动测量消耗项目之外的资源。一个 DNS 查询很小，但数十亿查询会到达从大型任播平台到小型服务器的各类权威系统。速率控制和调度可以减少影响；它们不会让成本变为零。因此，这项工作的伦理基础包括透明性，以及运营商提出异议的可行途径。

负责任的平台使用可识别的源地址，发布流量说明并监测联系渠道。它应满足合理的减少或屏蔽测量的请求，并调查异常负载报告。这些措施不创造普遍同意，但使项目对一种技术上无需事先许可即可进行的活动负责。

负担分布不均。一个被大量委派的提供者可能收到对数百万名称的查询，而小型运营商只看到少量。有些服务器配置为对不熟悉流量限速，造成表面上的测量失败。另一些可能返回刻意通用的答案。分析人员需要认识到，运营商防御改变了观测数据集。

隐私风险不同于被动解析器日志。OpenINTEL 从目标列表生成查询，不监视个人用户。这大大限制了用户行为暴露。档案仍可能包含标识组织、设备或服务的名称，包括来自证书日志的主机名。发布详细历史记录可能让被遗忘的基础设施更容易被发现。

访问控制和许可可以在不把每个 DNS 观测变成机密数据的情况下减少滥用。合适边界取决于来源、粒度和风险。宽泛聚合和研究数据集可以安全发布，而原始区域派生记录仍受合同控制。致力于开放科学的项目必须解释这些区分，而不是把访问呈现为全有或全无。

伦理审查还必须考虑下游声言。一篇将某域名或国家标记为不安全的论文，在实际观测捕捉到的只是瞬时错误时，可能造成声誉损害。项目无法监管每个用户，但清晰的警示、条款和示例可以塑造更好的实践。

OpenINTEL 的正当性部分建立在被测量运营商可以看到谁在提问。随着产品更快、更多样化，这种可见性应继续作为设计要求。一座观测站通过让自己的行为开放给审视，赢得它所观测系统的容忍。

主动 DNS、被动 DNS 和一般扫描回答不同的问题

OpenINTEL 有时会被拿来与被动 DNS 数据库、全网扫描器和分布式探测系统比较。只有在区分观测模型后，这种比较才有意义。

被动 DNS 收集在递归解析器或其他观测点真实查询流量中看到的记录。它可以揭示用户或系统请求了什么，以及通过这些路径返回了哪些答案。覆盖范围取决于参与传感器，并引发隐私和合同问题。被动数据库可能很快看到一个流行的恶意域名，却漏掉没有任何被观测用户请求过的安静域名。

OpenINTEL 自己选择目标并提出问题。即使没有用户访问这些名称，它也能每天测量同一总体。这种规律性支持纵向比较。它不能从主动查询推断流行度或缓存行为。两种方法互补：一种反映选定的解析器处观测到的需求，另一种反映从测量观测点对选定目标观测到的已配置答案。

ZMap 这类扫描器从地址出发，询问某项服务是否响应，通常随后进行协议握手。它可以映射暴露的服务，而不依赖域名列表。DNS 测量可以识别指向共享基础设施的名称和委派，包括那些服务不可达的记录。同样，这些方法看到的是不同表面。

RIPE Atlas 这类分布式探测平台可以从许多网络和位置提出 DNS 问题，揭示地理和解析器相关差异。OpenINTEL 强调其测量基础设施带来的广度、重复性和档案规模。来自许多观测点的较小总体，可以回答一次庞大日度扫描无法回答的问题。

这些区分防止一个常见错误：把所有大型互联网数据集当作可互换证据。一个在主动 DNS 中不存在、在被动数据中看不到、在地址扫描中不可达的域名，可能仍存在于访问控制或水平分割命名之后。一个被三种方法都观测到的域名更有公共运营的证据，但即便如此也不能确定谁使用了它或原因。

战略机会不是建立一个通用数据库，而是通过明确的时间戳、总体和不确定性连接各种方法。OpenINTEL 可以在更大的证据系统中提供纵向命名层。当分析人员知道哪些问题需要另一台仪器时，它的价值就增长。

DNSSEC 的采用只有在重复测量下才变得可读

DNSSEC 是说明日度档案为何重要的有用例子。一个区域可以发布委派材料，权威服务器可以提供签名记录，验证器可以决定生成的链条是否安全。这些阶段未必同步移动。一个国家代码注册局可能启用签名委派，而许多域名持有者仍未签名。一个域名可能发布密钥，却因签名过期或父记录错误而验证失败。单日扫描可以计算状态；它无法显示运营商如何进入、离开或修复这些状态。

OpenINTEL 可以跟踪相关记录在既定总体中的出现与消失。研究人员可以区分一直未签名的域名和间歇配置的域名，识别算法或密钥转换前后的变化，并测量损坏状态持续多长时间。重复方法把采用百分比转化为一组运营路径。

解释仍取决于测量设计。看到 DNSKEY 或 DS 记录，并不等同于像用户递归解析器那样执行每一个验证步骤。响应可能因观测点不同而不同，域名可能已签名而其应用不可用。研究 DNSSEC 的项目需要说明使用了哪些记录、验证逻辑和错误类别。跨年比较需要考虑列表增长和软件变化。

这些限定使结果更有用，而非更无用。标准讨论经常依赖掩盖维护成本的头条采用率。纵向数据可以显示一项变化是否带来持久配置、一阵实验或反复出现的故障模式。它可以区分缓慢部署和触及平台期的情况——后者意味着剩余总体有不同的激励。

相同逻辑适用于 IPv6 记录、邮件安全和其他基础设施实践。一项技术不会仅仅因为一条记录出现过一次就算已部署。当配置持续存在、故障被修复、依赖系统表现一致时，它才成为基础设施。OpenINTEL 的档案可以揭示这些转变，因为它保存了足够的日度证据，把事件与习惯区分开来。

对运营商来说，这种历史可能令人不舒服。长期记录让反复的错误配置可见。它也可以证明某个问题在一次事件或政策干预之前已经修复。测量不赋予意图，但它改变论证的质量。讨论从回忆转向带有日期的证据。

提供者集中度体现在模式中，而因果仍在数据集之外

DNS 可以暴露基础设施集中在哪里。许多域名可能委派给同一权威提供者，把邮件指向同一服务，或将网络名称解析到与少数平台相关的地址空间。长期跟踪这些关系，可以显示在市场转变后难以重建的整合、迁移和依赖。

OpenINTEL 非常适合这项工作的描述部分。重复记录可以揭示某提供者的名称服务器域名在被测量总体中出现在不断增长的份额里、一次收购后命名模式发生变化，或一次故障后域名迁走。地址和自治系统增强可以把名称连接到网络基础设施，但受路由数据准确性和时间限制。

档案不能解释每一次迁移的原因。域名可能因为价格、性能、安全、注册商捆绑或组织合并而使用某提供者。共享名称服务器品牌可能掩盖多个独立基础设施。大型平台可以使用许多自治系统，而一个自治系统可以托管互不相关的客户。DNS 数据支持集中度度量；它不能证明市场力量或客户满意度。

政策后果很直接。监管者可能想把高测量份额当作有害控制的证据。运营商可能把同一份额当作服务赢得信任的证据。数据集可以确立模式和日期。经济和法律结论需要合同、所有权记录、故障证据和用户转换成本。

纵向测量增加两个市场快照会错过的洞察。首先，它能显示集中的速度。十年缓慢变化与产品下架引发的突然变化，原因和对策不同。其次，它能显示可逆性。如果域名频繁更换提供者，集中市场可能仍有实际流动性。如果尽管反复故障，委派仍然持续，锁定可能比头条份额所显示的更深。

历史还可以揭示隐藏的共同模式风险。各组织可能相信自己使用多元应用主机，却把 DNS、邮件和证书都委派给同一提供者家族。这一共享层发生故障，会影响原本独立的系统。OpenINTEL 不建模整个依赖链，但它能提供命名证据，由此开始绘制更完整的地图。

因此，对档案最负责任的使用，是把集中度当作观测到的结构，然后调查机制。测量平台应让依赖可见，而不假装记录列表包含互联网的全部政治经济学。

证书、邮件记录和名称可以连接起来，而不必成为一个系统

DNS 并非孤立运作。证书透明性日志暴露为公开证书提交的名称。邮件记录标识交换基础设施和策略。地址记录指向托管网络。反向名称可以提供管理线索。OpenINTEL 的来源产品和重复查询，使人们能够考察这些系统如何随时间对齐。

证书派生名称把可观测总体扩展到区域列表中只有顶级域名的范围之外。它可以揭示对 PKI 研究重要的服务主机名和临时名称。来源具有选择性：它偏好公开记录的证书，并包括可能从未提供过流量的名称。证书可能在相关服务消失后仍留在日志中。主动 DNS 测量增加的是当前配置观测，而不是证书已安装或被浏览器信任的证明。

邮件记录形成另一张地图。MX 目标和相关 TXT 记录可以显示向托管邮件提供者的迁移、认证策略采用和配置错误。重复观测可以识别策略是被持续维护还是短暂测试。它们不显示邮件量、投递成功或接收系统如何应用策略。

基础设施记录也可以支持事件重建。如果一个域名在很短时间内更换了名称服务器、邮件主机和地址，调查者就获得一条时间线。该序列可能反映正当迁移、从入侵中恢复或接管。DNS 历史缩小问题范围；它不给事件贴标签。

价值来自连接证据，同时保留其来源。证书日志、区域文件、主动响应和路由表各有不同时间和权威。将它们在一次分析中合并可以揭示关系，但结论只与最薄弱的连接一样强。一个被多个服务复用的名称、一个共享平台背后的地址或一条过时证书，都可能造成错误关联。

OpenINTEL 最重要的作用，是让这些数据集保持可区分。研究人员应当能够说明：某名称通过证书日志进入目标列表，在主动测量期间返回了特定记录，并在另一份标注日期的路由视图下映射到某网络前缀。这句话不如说平台“了解互联网”那样戏剧化，但它可以复现。

这种多来源纪律也是对事后确定性的防御。事件发生后，分析人员自然会在数据中寻找一个故事。版本化的测量轨迹迫故事尊重当时实际可观测的内容。它可以显示两个事件相关，而不声称一个导致另一个。

前缀排行榜把档案从名称扩展到网络

项目的时序前缀排行榜说明了 OpenINTEL 如何生产派生产品，而不只是原始 DNS 答案。前缀排行在网络层聚合证据，并跟踪其显著度如何随时间变化。这可以帮助研究人员选择代表性网络、研究基础设施集中度或比较测量目标，而无需为每篇论文重建相同的连接。

前缀不是一个组织。路由通告可能变化，地址空间可以被租用，一个网络可以托管许多互不相关的服务。排行取决于纳入的名称和记录类型、路由数据的日期，以及用于计算显著度的指标。高位可能意味着广泛托管、共享基础设施或列表选择效应。

时序设计才是其有用之处。静态列表会随服务迁移和路由变化迅速过时。重复排行可以显示网络何时进入或离开显著位置，让研究人员复现适合较早日期的总体。它们还暴露了单个“顶级网络”列表掩盖的不稳定性。

派生数据集降低了研究成本。它们让没有足够存储和算力处理完整档案的团队也能进行复杂基础设施分析。这一好处增加了项目发布方法论和版本化的责任。用户可能把便捷排行当作客观真相，而它只是基于所选输入的一个视图。

向网络层产品的扩展不会把 OpenINTEL 变成路由观测站或 RIR。它使用公开注册局和路由背景来丰富 DNS 观测。路由有效性、归属争议和运营性能仍是独立问题。

这一定位在战略上是健康的。项目可以提供共同的派生证据，而不声称对其排行的实体拥有权威。当产品在节省计算工作的同时，仍让分析判断可见时，它就最有价值。

安全研究获得一条时间线，而不是关于恶意性的裁决

历史 DNS 数据对安全团队有吸引力，因为滥用基础设施经常移动。域名可能轮换地址、名称服务器或邮件系统；活动可能复用提供者；事件可能在相关配置已改变后才被发现。OpenINTEL 可以提供带日期的观测，使这些转变可恢复。

这种证据对划界尤其有用。调查者可以询问可疑域名何时首次出现在测量列表中、其权威服务是否在事件前后发生变化，以及当时哪些其他名称共享同一基础设施。安全研究人员可以利用这些关系生成假设，并选择哪些系统需要更仔细检查。

这些记录本身都不能确立恶意性。快速变化可能是规避的迹象，但也出现在内容分发网络、灾难恢复和正当迁移中。共享托管把良性和有害域名放在同一地址。名称服务器关联可能反映注册商默认设置，而不是共同控制。即使一个强烈类似已知活动的模式，也需要内容、注册、恶意软件、遥测或法律证据来佐证。

这种区分很重要，因为历史数据集可能让关联看起来比实际更持久。一个与某地址共享了一天的域名，可能在分析人员派生的数据库里与另一个域名被归为多年同组。时间窗口和置信度应随关系一起传递。来源总体也应如此：证书派生的主机名和注册局区域的顶级域名并不是以相同方式进入档案的。

OpenINTEL 的角色是保存那些可能消失的基础设施事实。打标签、归因和响应属于单独过程。当档案在不被要求裁决意图的情况下缩小不确定性时，安全工作最强。

档案使基础设施变化可以被质疑

每个测量日都增加运营价值和存储义务。项目必须维持查询容量、更换硬件、迁移数据库，并留住既懂 DNS 又懂系统历史的专家。这些任务中没有一项仅仅因为档案变得重要就自动得到保障。

四方合作模式分散风险，但也让可持续性更难从外部解读。一家机构资助人员，另一家资助算力，第三家资助来源数据访问。任何组成部分的变化都可能降低覆盖，而不会有常规公司公告。整个项目的公开财务账目不存在，因此用户应关注技术和机构信号，而不是假定连续性。

档案管理需要的冗余不止备份。复制副本必须包含模式、方法记录、来源列表版本和解释异常所需的知识。另一个站点的一堆文件不是一台正常运转的历史仪器。与 CAIDA 等组织的合作可以提高韧性和方法比较，尽管合同数据可能限制可复制的内容。

许可模式也塑造未来。非商业开放访问支持学术再利用，却限制某些商业应用。受控区域数据不能简单地在更宽许可下发布。合作伙伴可能需要既保留研究访问、又回收存储和支持实际成本的资金安排。如果开发商业路径，不应悄然收窄项目正当性所依赖的公共记录。

成功本身可能制造脆弱性。随着更多论文和政策论断依赖 OpenINTEL，一个缺失时期或数据集变化会影响更广泛的社群。项目可能需要比研究系统通常发布的更正式的发布记录、服务预期和保存政策。这些不是它应该变成公司的迹象，而是它已经成为基础设施的迹象。

最有价值的未来里程碑，也许是那种没有头条的成就：一次透明的存储迁移，让旧结果、警示和访问路径完整保留。OpenINTEL 已经证明它能以非凡规模测量。更难的考验是，其背后的机构能否保留让这十年的测量可以同未来十年比较的条件。

OpenINTEL 无法讲述 DNS 的全部历史。它可以显示：在某个日期，一个经过定义的名称从自己的观测点返回了经过定义的答案，并能对庞大总体重复这一观测。这足以改变许多论断。

提供者可以说 DNSSEC 采用率提高了；档案可以显示测量到的转变和总体。研究人员可以声称权威托管更加集中；数据可以揭示哪些列表和时期支持这一说法。事件调查者可以重建某条记录何时变化。另一位分析人员可以挑战方法，而不是接受一张截图。

项目的规模令人瞩目：根据其当前指标，每天数亿个域名、数十亿个日度数据点和数万亿次累计观测。更重要的成就是跨越机构与技术变化的连续性。档案让 DNS 的过去成为证据，而不是记忆。

这种证据仍受列表、合同、观测点和方法的边界限制。OpenINTEL 的可信度来自保存这些边界。称它为 DNS 的完整副本，会夸大项目并削弱其真实记录的效用。

历史观测站不需要看到一切。它需要说明自己看到了什么、保存条件，并持续存在足够久，让变化可以被测量。OpenINTEL 为命名基础设施建造了这样一种仪器。它的下一个挑战，是确保档案及其背后的机构，能够像研究人员希望研究的趋势一样持久。