作者：
西昂·罗伊德 (Siôn Lloyd)，首席安全、稳定和弹性科学家
山姆·奇德尔 (Sam Cheadle)，机器学习工程师
卡洛斯·赫尔南德兹·迦南 (Carlos Hernandez Gañán)，首席安全、稳定和弹性科学家
关于涉及域名系统 (Domain Name System, DNS) 滥用的域名数量，业界一直存在讨论，包括但不限于 Interisle 咨询集团 (Interisle Consulting Group) 最近发布的一份报告。该报告分析了新注册的通用顶级域 (generic top-level domains, gTLD) 中被归类为恶意注册的数量。尽管我们并不完全认同该报告中呈现的某些规模和衡量指标，但我们认可该报告为 ICANN 社群内关于当前 DNS 滥用现状、以及在衡量和缓和滥用行为时所面临的困难所进行的持续讨论所作出的贡献。这些讨论具有重要价值，并凸显出不同研究对恶意域名注册量的估算可能存在差异；估算结果取决于对“滥用”行为的定义、判定域名属于“恶意”所需的证据标准，以及用于估算恶意域名总数的数据分析方法。
在本博文中，我们将重点探讨 ICANN 社群当前关于 DNS 滥用讨论的三个方面：
- 被举报和列入禁用名单的域名与经确认的恶意域名之间的区别。
- ICANN 对 DNS 滥用行为的定义范畴。
- 方法论、再现性和背景信息的重要性。
被举报的和有确凿证据的 DNS 滥用行为
被举报为恶意（或可疑）的域名，与拥有可采取行动的证据、且该证据足以支持合理判定该域名正被用于 DNS 滥用的域名之间存在着差异。在审视具体案例时，这一区别尤为重要；而在评估可能需要采取哪些缓和措施时，这一点更是至关重要。在分析这份报告中呈现的统计数据和趋势时，这一区别依然重要——统计数据可为政策制定提供依据，因此我们必须明确任何论断所存在的局限性。鉴于此，虽然我们可以利用信誉拦截列表 (reputation block lists, RBL) 来分析已举报的滥用行为的模式（同时需理解数据的局限性），但诸如域名停用等措施则通常需要经过调查或佐证。
ICANN 对 DNS 滥用的定义
ICANN 在合同中对 DNS 滥用的定义范畴较为狭窄，这是为了确保 ICANN 在该领域采取的任何行动均在其职权范围之内。此定义涵盖了僵尸网络、恶意软件、网址嫁接、网络钓鱼和垃圾邮件（仅当垃圾邮件被用作上述危害之一传播媒介时）。在 ICANN 生态体系之外的其他场合，各方经常会讨论一些不属于 ICANN 职权范围的互联网不当活动。其他各方将欺诈或诈骗等超出 ICANN 职权范围的额外或不同类别的问题纳入滥用行为，这也是可以理解的。ICANN 指出，一些不受 ICANN 合同约束的国家和地区顶级域 (country code top-level domains, ccTLD) 也将上述行为列为滥用行为。
因而在讨论网络滥用时，我们必须明确所涵盖的滥用类型及其理由。此外，我们必须传达并理解将可信度较低的举报纳入统计的后果，因为纳入关于“已举报”（而非“已确认”）滥用的数据，可能会导致数据量被夸大。毕竟，已举报滥用的统计数据充其量仅构成已确认滥用数量的上限。例如，如果将更宽泛的垃圾邮件定义视为一种滥用类型（即超出 ICANN 对 DNS 滥用定义范畴的垃圾邮件，而 ICANN 的定义则仅限于用于传播 ICANN 定义的其他 DNS 滥用行为的垃圾邮件），那么这类数据中也将包含可能并未造成实际危害的域名。在此示例中，我们可以看到宣传赌场的电子邮件，这些赌场可能真实也可能不真实，可能合法也可能不合法（这可能取决于其运营地点以及用户所在地区）。此类电子邮件很可能不符合 ICANN 对 DNS 滥用的定义。这种定义更宽泛的垃圾邮件类别还经常包含并非基于直接行为观察的条目，即预测性或启发式条目，而这又进一步拉大了举报与证据之间的差距。
对其他研究方法的引用
在基于已发表的方法论进行研究时，明确描述已进行的任何修改是至关重要的。此举有助于他人理解、复现并评估研究结果。
Interisle 的这份报告很好地描述了用于查找相关域名的方法论，指出其方法论与 ICANN 首席技术官办公室 (Office of the Chief Technology Officer) 已发表的方法具有相似性。然而，此报告中描述的分析与已发表的 ICANN 方法是存在一定差异的，且这些差异并未得到解释。用于将域名归类为恶意注册的方法也是如此。虽然其方法与受损注册域名与恶意注册域名的分类 (COMAR) 方法有相似之处，但其中差异并未得到明确说明。鉴于假设和实施细节会影响最终的估计结果，因此仅引用方法论是不够的。任何修改都应明确记录在案，以便读者能够理解此结果的推演过程。
结论
我们欢迎大家就这些问题继续展开讨论。ICANN 认识到 DNS 滥用带来的危害，并严肃认真地履行其职责，在本组织的使命和职权范围内支持采取缓和措施。这正是社群目前正在通过政策制定流程 (policy development processes, PDP) 来应对恶意域名注册的原因，首先是通过“相关域名检查 PDP”，随后还将启动另一轮 PDP，以针对新帐户持有人的大规模注册域名的能力引入保障措施。
ICANN 遵循一套自下而上的利益相关方治理模型，我们鼓励各个社群提出建议，帮助我们将互联网打造成为一个更安全的领域，为所有人带来福祉。