Авторы:
Шон Ллойд (Siôn Lloyd), главный специалист по вопросам безопасности, стабильности и отказоустойчивости
Сэм Чидл (Sam Cheadle), инженер по машинному обучению
Карлос Хернандес Ганан (Carlos Hernandez Ganan), главный специалист по вопросам безопасности, стабильности и отказоустойчивости
Продолжает обсуждаться тема количества доменов, использующихся для злоупотребления системой доменных имен (DNS). Среди прочего, в рамках этих дискуссий недавно вышел отчет, подготовленный Interisle Consulting Group, в котором рассматривается количество новых зарегистрированных доменов общего пользования верхнего уровня (gTLD). В отчете они классифицированы, как зарегистрированные в злоумышленных целях. Хотя мы не полностью согласны с некоторыми из шкал и показателей, приведенных в этом конкретном отчете, мы считаем, что он представляет собой вклад в проходящие в сообществе ICANN дискуссии о текущем ландшафте злоупотреблений DNS и сложностях измерения показателей злоупотреблений и борьбы с этим феноменом. Эти дискуссии представляют ценность, потому что позволяют подчеркнуть тот факт, что разные исследования могут привести к разным оценкам количества доменов, зарегистрированных в злоумышленных целях; эти оценки зависят от определения понятия «злоупотребление», качества доказательств, необходимых для того, домен считался вредоносным, а также того, как анализируются данные для приблизительной оценки общего количества вредоносных доменов.
Настоящая статья посвящена трем аспектам идущих в сообществе ICANN дискуссий о злоупотреблении DNS:
- Сравнение количества доменов, на которые поступили жалобы и которые были занесены в блок-листы с количеством подтвержденных вредоносных доменов.
- Что подпадает под понятие «злоупотребление DNS» согласно определению ICANN.
- Важность методологии, воспроизводимости и контекста.
Количество случаев злоупотребления DNS, на которые поступили жалобы, в сравнении с количеством доказанных случаев
Домен, на который поступила жалоба, как на вредоносный (или как на подозрительный) и домен, по которому есть доказательства, дающие основания для его отнесения к категории доменов, использующихся для злоупотребления DNS — это не одно и то же. Эта различие приобретает особое значение при рассмотрении конкретных случаев, и оно критически важно при оценке того, какие могут быть необходимы меры по борьбе со злоупотреблениями. В отношении статистики и тенденций, подобных представленным в отчете, эта разница тоже важна — статистика может лечь в основу политик, то есть мы должны четко понимать, насколько применимы выдвигаемые претензии. Именно поэтому можно использовать блок-листы ресурсов с плохой репутацией (RBL) для анализа закономерностей, наблюдающихся в отношении случаев злоупотреблений, на которые поступают жалобы (понять, насколько применимы данные); при этом такие действия, как отключение домена, обычно требуют проведения расследования или предъявления дополнительных фактов.
Понятие «злоупотребление DNS» согласно определению ICANN
В соглашениях ICANN дается узкое определение понятия «злоупотребление DNS», чтобы никакие действия, предпринимаемые ICANN в этом направлении, не выходили за пределы мандата ICANN. Под это определение подпадают ботнеты, вредоносное ПО, фарминг, фишинг и спам (когда он используется в качестве вектора доставки одного и вышеперечисленных типов вреда). За пределами экосистемы ICANN стороны часто рассматривают сомнительную деятельность в интернете, которая выходит за рамки мандата ICANN. Тот факт, что другие стороны включают в свое определение дополнительные или другие категории, выходящие за пределы мандата ICANN, например, мошенничество, понятен. ICANN отмечает, что некоторые национальные домены верхнего уровня (ccTLD), не связанные обязательствами соглашений ICANN, включают подобные типы злоупотреблений в свое определение.
При обсуждении онлайн-злоупотреблений следует четко отмечать, какие подразумеваются типы злоупотреблений и почему. Кроме того, последствия учета жалоб, которые вызывают меньше доверия — это нечто, о чем обязательно информировать и что нужно понимать. Это связано с тем, включение данных о случаях злоупотреблений, на которые поступили жалобы (в отличие от доказанных случаев), приводит к раздуванию статистики, так как в лучшем случае статистика по случаям, на которые поступили жалобы, может представлять из себя максимальные значения количества доказанных случаев злоупотреблений. Приведем следующий пример: если в качестве типа злоупотребления рассматривается более широкое определение спама (то есть спам, выходящий за пределы понятия «злоупотребление DNS» согласно определению ICANN, которое ограничено спамом, использующимся для распространения других типов злоупотребления DNS в пределах мандата ICANN), то данные будут также включать домены, которые могут не нести в себе активного вреда. Под этим примером мы подразумеваем электронные письма с рекламой существующих или несуществующих казино, которые могут быть легальными или нелегальными (что в свою очередь может зависеть от их местонахождения и места жительства пользователя). Эти типы электронных писем с большой вероятностью не подпадают под определение ICANN относительно злоупотребления DNS. Более широко определенная категория спама также часто включает данные, не основанные на прямом наблюдении того или иного поведения, то есть она включает данные предсказательного характера или эвристические данные, что делает разницу между жалобами и доказательствами еще более важной.
Отсылки к другим исследовательским методологиям
При использовании опубликованной методологии важно четко описать все внесенные изменения. Это позволяет всем остальным понять, воспроизвести и оценить результаты.
В отчете Interisle хорошо описаны методологии, использованные для нахождения связанных доменов, так как там сказано, что их методология похожа на метод, опубликованный офисом технического директора ICANN. При этом описанный в отчете анализ отличается от опубликованного ICANN метода, но в нем не разъяснено, в чем состоят их различия. Это касается и метода, который используется для классификации доменов, зарегистрированных со злонамеренными целями, похожего на метод COMAR, но не разъяснена суть этих различий. Из-за того, что предположения и методы применения влияют на результаты оценки на выходе, простого упоминания методологии недостаточно. Все изменения необходимо четко документировать, чтобы читатели могли понять, как были получены результаты.
Заключение
Мы приветствуем дальнейшее обсуждение этих вопросов. ICANN понимает, что злоупотребление DNS приносит вред и очень серьезно относится к своей роли по поддержке усилий по борьбе с ним в рамках своей миссии и обязанностей. Именно поэтому сообщество сейчас работает над процессами разработки политик (PDP) для реагирования на злонамеренную регистрацию доменов в рамках PDP в области проверки связанных доменов, за которым последует PDP в области развертывания мер защиты, направленных на возможности массовой регистрации доменов новыми владельцами доменов.
ICANN руководствуется мультистейкхолдерной моделью по принципу «снизу-вверх», и мы надеемся, что все части сообщества будут выдвигать идеи, чтобы помочь нам сделать интернет более безопасным для всех.