من الكشف إلى تنفيذ تدابير الاستجابة

السؤال أضيق نطاقًا من «من الذي فشل؟»: ما هي حالات التأخير الملحوظة بين الأدلة المؤكدة واتخاذ الإجراءات المتناسبة التي يمكن تجنبها، وما هو التدخل الذي يقلل من الضرر الذي يلحق بالضحية دون التسبب في حالات إيجابية كاذبة غير مقبولة أو أضرار جانبية؟

يشمل نطاق الدراسة النظام البيئي التعاقدي لـ gTLD: المسجلون، والموزعون، ومسجلو النطاقات، وسجلات النطاقات، ووحدة الامتثال التعاقدي التابعة لـ ICANN. ولا يتم تضمين مزودي خدمات الاستضافة، وشبكات توزيع المحتوى (CDNs)، والمتصفحات، وخدمات الدفع، ومنصات الإعلان، وفرق الاستجابة للطوارئ الحاسوبية (CERTs) الوطنية، وسلطات العدالة الجنائية إلا في الحالات التي تؤثر فيها على سلسلة الأدلة أو سلسلة الاستجابة. تخضع نطاقات المستوى الأعلى ذات رموز البلدان (country-code TLDs) لنظام حوكمة مختلف، ولا يُفترض أنها خاضعة لعقود ICANN الخاصة بـ gTLD.

حالة الأطروحات الرئيسية

• تحلل هذه الورقة موقع «ICANN» باعتباره مؤسسة خاصة معنية بالحوكمة والالتزام التعاقدي ضمن منظومة «gTLD». ولا يُعد موقع «ICANN» هيئة تنظيمية حكومية أو جهة معنية بإنفاذ القانون، لكنه يقوم باعتماد مسجلي النطاقات، وإبرام العقود مع مشغلي السجلات، وإنفاذ تلك الاتفاقيات؛ ولا يُعفي هذا النطاق المحدود من المسؤولية المؤسسية.
• يُعد النطاق الذي يتراوح بين 60 و85% تقديرًا كميًّا أساسيًّا في نموذج الضرر الذي تتناوله الورقة البحثية. ويُقدَّم هذا التقدير باعتباره تقديرًا قابلاً للاختبار مستمدًّا من افتراضات صريحة وملاحظات على حالات محددة — وليس كإحصائية ثابتة مسبقًا تشمل جميع حالات الاحتيال على مستوى العالم. وتتمثل الخطوة التالية في مجال الأدلة في نشر مجموعة بيانات على مستوى الحوادث تربط بين الطوابع الزمنية الخاصة بالكشف والإبلاغ والتخفيف والضرر.
• يُعد الرقم الذي يتراوح بين 100 و150 دولارًا تقديرًا هندسيًّا قابلًا للاختبار للميزانية اللازمة للجمع المستمر والفرز الأولي لمجموعة محددة من بيانات «المنطقة القابلة للوصول» و«شفافية الشهادات» و«التغذية العامة» المتعلقة بالبنية التحتية للسلع الأساسية. وهو لا يمثل تكلفة الرؤية العالمية الكاملة، أو المراجعة القانونية، أو الطعون، أو التوافر العالي، أو الإنفاذ. لذلك، تتعامل الورقة مع هذا الرقم كمعيار مرجعي يمكن تكراره باستخدام حمل عمل منشور وقائمة جرد للمصادر وسجل للتكاليف — وليس كسعر عالمي تم إثباته بالفعل. ويضيق هذا التمييز نطاق الادعاء دون محو التباين في التكاليف الذي يجري اختباره.
• تتناول المقارنة التي أجرتها الدراسة على مدى ثلاثة أسابيع «زمن الاستجابة للامتثال»، وليس اتفاقية مستوى الخدمة (SLA) الشاملة لإزالة المواقع. موقع «ICANN» الأسئلة الشائعة حول الامتثال التعاقدي تنص على أن معظم أنواع الشكاوى يمكن أن تمر بثلاث فترات رد متتالية مدة كل منها خمسة أيام عمل قبل إحالتها رسميًا إلى مستوى أعلى، في حين أن العديد من الحملات الخبيثة تستمر لساعات أو أيام. وتقتضي العقود بشكل منفصل اتخاذ إجراءات تخفيفية فورية ومناسبة فور توفر أدلة قابلة للتنفيذ. [2][4]
• في حالة وجود تسجيل خبيث تم التحقق منه ومخصص لغرض واحد، serverHold تُعد هذه الإجراء من أكثر الإجراءات تسببًا في الاضطرابات على مستوى نظام أسماء النطاقات (DNS)، لأنها تزيل التفويض من المنطقة. وهي ليست شاملة: فقد تؤدي أيضًا إلى تعطيل خدمة البريد الإلكتروني والنطاقات الفرعية والخدمات المشروعة؛ وقد تظل الإجابات المخزنة مؤقتًا سارية حتى انتهاء صلاحية TTL؛ وقد تتطلب الخدمات المخترقة أو المشتركة إجراءات تخفيف أضيق نطاقًا. [4][7]

سجل التقرير نصف السنوي الأول الصادر عن شركة ICANN بشأن تنفيذ المتطلبات التعاقدية بموجب تعديلات عام 2024، 192 تحقيقًا، وأكثر من 2,700 نطاق مُعلَّق، وأكثر من 350 صفحة تصيد تم تعطيلها، وإخطارين بحدوث خرق. لا تثبت هذه الأرقام أن الضوابط الحالية كافية، لكنها تستبعد الادعاء المطلق بأن النظام لا يتخذ أي إجراء. [5]

تستمر بعض عمليات التصيد الاحتيالي لفترات تتراوح بين ساعات وأيام. وقد أشار بيجمانز وزملاؤه في دراسة أُجريت عام 2021 إلى أن متوسط العمر الافتراضي الملحوظ لـ 1,288 نطاقًا من نطاقات التصيد الاحتيالي بلغ 45 ساعة، بينما بلغ الوسيط 24 ساعة. [11] أفادت دراسة أجريت عام 2026 حول نطاقات التصيد الاحتيالي المسجلة حديثًا بوجود توزيع شديد الانحراف: فمن بين 14,112 نطاقًا يمكن قياس مدة بقائها، بلغ المتوسط 8.6 أيام، والوسيط يومًا واحدًا. [12] لا يمكن تعميم أي من هذين المثالين على جميع فئات التهديدات، لكن كلاهما يوضح لماذا قد تفوت العملية التي تُقاس بالأيام العملية فقط عمليات الاحتيال والتصيد الاحتيالي قصيرة الأمد.

غالبًا ما لا يكون الأصل ذو الأهمية الاقتصادية هو رسوم التسجيل، بل حركة المرور والمحتوى الإبداعي والبنية التحتية والثقة المتراكمة حول النطاق. وهذه الفكرة تبدو معقولة؛ إلا أن حجمها يختلف باختلاف عمليات الاحتيال والتصيد. ولذلك، فإن الآلة الحاسبة أدناه تكشف عن كل المدخلات بدلاً من تقديم نتيجة افتراضية على أنها متوسط ملاحظ.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

لا يمكن أن تصبح «الخسارة بعد الكشف» نتيجة مفيدة إلا إذا تم تعريف «الكشف» و«التسليم» و«الضرر» بشكل متسق. ولا يُعد الطابع الزمني للقائمة السوداء دليلاً على أن المسجل قد تلقى أدلة قابلة للتنفيذ. كما أن معاملة المحفظة لا تُعزى تلقائيًا إلى نطاق واحد. ولا يُحدد عدم إمكانية الوصول إلى نطاق ما الجهة الفاعلة التي تسببت في هذا التغيير.

الحد الأدنى لمخطط الحدث

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

يجب أن يستخدم البسط والمقام نفس قاعدة الإسناد. وينبغي أن تتضمن النتائج بيانات عن المجموعة، وفترة الثقة، والرقابة اليمنى، والمصادر المفقودة، ومعالجة حالات تكرار الضحايا، والحساسية تجاه نافذة الملاحظة. وينبغي حصر استخدام مصطلح «قابل للوقاية» في التصميم السببي أو، على الأقل، في المقارنة المتطابقة — وليس في كل حدث يحدث بعد الإخطار.

لا يوجد طرف واحد يرى أو يتحكم في الحادثة برمتها. فالمسجل على علم بالعلاقة بين المسجل والمستجل؛ والسجل يتحكم في حالة النطاق التي يحددها السجل؛ والمضيف وCDN يتحكمان في توصيل المحتوى؛ والمتصفحات ومزودي خدمات الأمان يتحكمون في التحذيرات؛ ومزودي خدمات الدفع والمحافظ الإلكترونية يمكنهم إيقاف التحويلات؛ والسلطات يمكنها فرض الحفظ أو المصادرة. يقوم موقع ICANN بصياغة العقود وإنفاذها في النظام البيئي gTLD، لكنه لا يدير مستوى تحكم عالمي EPP.

لا تعني القدرة الموزعة انعدام المسؤولية. فلا يتخلص المسجل الراعي من واجباته التعاقدية بتفويض معالجة حالات إساءة الاستخدام إلى موزع؛ حيث يتحكم السجل في حالة EPP المحددة على الخادم؛ وتقوم منظمة «ICANN» بفرض الامتثال التعاقدي. يجب أن يسجل سجل التدقيق ليس فقط من قام بالتصرف، بل ومن تلقى أدلة قابلة للمتابعة، ومن أعاد توجيه القضية، ومن لم يرد، أو من لم يؤدِ واجباً موكلاً إليه. تظل السلطة القانونية في يد الجهة المخولة بتطبيق الإجراء؛ وتشمل المساءلة أيضاً حالات عدم الأداء الموثقة.

أنشأت التعديلات العالمية التي أُدخلت في أبريل 2024 على اتفاقية اعتماد جهات التسجيل واتفاقية السجل الأساسية التزامات صريحة بالتخفيف من DNS Abuse. يجب على جهات التسجيل أن تتصرف سريعًا عندما تكون لديها أدلة قابلة للتنفيذ على أن اسمًا ترعاه يُستخدم في DNS Abuse. ويجب على مشغلي السجلات أن يتصرفوا سريعًا عندما يقررون بصورة معقولة، استنادًا إلى أدلة قابلة للتنفيذ، أن اسمًا مسجلًا يُستخدم في DNS Abuse. وفي الحالتين يعتمد التدبير المناسب على السياق والخطورة والأضرار الجانبية. [2][3]

ثلاثة خطوط زمنية غالبًا ما يتم الخلط بينها

لهذه المرونة مزاياها: فلا ينبغي التعامل مع نطاق جامعي تعرض للاختراق كما لو كان نطاقًا للتصيد الاحتيالي مسجَّلًا حديثًا ومخصصًا لغرض واحد. وتكمن مشكلة المساءلة في صعوبة المقارنة بين مصطلحي «فوري» و«مناسب» في غياب الطوابع الزمنية المنشورة وفئات الحالات ورموز النتائج. ويضيف الاقتراح الوارد أدناه آليات للقياس والمراجعة دون الادعاء بأن موعدًا نهائيًّا واحدًا يناسب كل الحالات.

يندرج التصيد الاحتيالي صراحةً ضمن التعريف التعاقدي لـ DNS Abuse. وتكمن الحدود الأصعب في المواقع التي تخدع المستخدمين باسم أصلي بدل انتحال طرف ثالث محدد، مثل بعض منصات الاستثمار المزيفة والمتاجر الاحتيالية وعمليات احتيال استرداد الأموال ومخططات توقيع المحافظ. وبحسب الوقائع، قد تُعامل هذه الحالات بوصفها إساءة على مستوى محتوى الموقع أو احتيالًا على المستهلك أو فئة قانونية أخرى، لا DNS Abuse تعاقديًا.

يمكن للمشاورات السياساتية أن تبحث ما إذا كانت فئة ضيقة قائمة على الأدلة مثل VFHA ينبغي أن تُدرج في العقود المستقبلية أو إطار إحالة عابر للقطاعات أو القانون الوطني. ويجب أن يتطلب التوسع اختبارًا دقيقًا للضرر، وأدلة موثوقة، وسبل انتصاف متناسبة، ومراجعة للاختصاص، واستئنافًا. ولا تكفي تسمية «احتيال» مبهمة.

يمكن لخادم عادي تنزيل لقطات متاحة لملفات مناطق gTLD المشاركة وحساب التغييرات محليًّا، واستيعاب أحداث «شفافية الشهادات» (Certificate Transparency) المحددة والتغذيات المفتوحة، وتوحيد السلاسل النصية، وحساب التجزئات، وتحديد أولويات المرشحين. وهذا معيار هندسي مفيد وقابل للاختبار — وليس «مراقبة كاملة للإنترنت». في الربع الثاني من عام 2026، أبلغت شركة Verisign عن 401.6 مليون تسجيل عبر جميع نطاقات المستوى الأعلى (TLDs)؛ وتغطي CZDS ملفات منطقة gTLD المشاركة بدلاً من جميع نطاقات المستوى الأعلى، بينما تسجل CT الشهادات أو الشهادات المسبقة المسجلة علنًا بدلاً من كل نطاق نشط أو ضار. [8][9][17]

الإطار المقترح هو بنية مرجعية، وليس «مفتاح إيقاف عالمي» تلقائي. فهو يعمل على توحيد متطلبات الملف وسجل القرار والطوابع الزمنية، مع السماح للمشغل المصرح له باختيار الإجراء الفعال الأقل إزعاجًا.

مستويات الأدلة

يجب أن يقوم نظام الإبلاغ عن التهديدات (API) بإنشاء حالة قابلة للتحقق وبدء مؤقت استجابة قابل للتدقيق؛ ويجب ألا يتمكن المبلغ من إصدار أمر تعليق مباشرةً. إذا كانت حالة E3/E4 تتعلق بتسجيل ضار ذي غرض واحد وانتهت صلاحيتها دون صدور قرار مسبب أو اتخاذ إجراءات تخفيف فعالة، فإن النظام يقوم تلقائيًّا بتصعيدها إلى مشغل السجل أو جهة أخرى تتمتع بسلطة تعاقدية أو قانونية. أ serverHold لا يمكن أن يصدر الأمر إلا من جهة مخولة. ويُعتبر كل من «التصعيد التلقائي» و«سلطة السجل للتصرف عند انتهاء الصلاحية» تغييرات مقترحة في السياسة، وليست ادعاءات بشأن سلطة قائمة. ويتم توقيع كل انتقال بين الحالات وإرفاقه بسجل التدقيق.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

تُرجع الاستجابة الناجحة معرّف القضية، والجهة المستلمة، ومستوى الأدلة، وأخطاء الاكتمال، والوقت المستهدف للمراجعة، وعنوان URL العام الخاص بالشفافية. ويجب ألا تتعهد بتدبير تصحيحي محدد قبل أن تقوم الجهة المختصة بتقييم الصلاحيات والتأثيرات الجانبية.

ينبغي الفصل بين أهداف مستوى الخدمة شكر وتقدير, الفرز, القرار و التخفيف الفعال. وهذا يجعل الأداء قابلاً للقياس دون افتراض أن التعليق هو النتيجة الصحيحة دائماً.

هذه أهداف تجريبية. وينبغي استنباط القيم الصحيحة استنادًا إلى مدة بقاء التهديدات الملحوظة، ومستوى التوظيف، وتكلفة الأخطاء، والقيود القانونية، ثم نشرها مع توزيعات معدلات تحقيق الأهداف بدلاً من متوسط واحد.

قد يؤدي الاستجابة السريعة دون اتخاذ تدابير وقائية إلى تفاقم مشكلة البيانات الخاطئة، مما قد يتسبب في الرقابة أو التخريب التجاري أو انقطاع خدمات البنية التحتية. ولذلك، فإن البنية التحتية السليمة تعامل «النتائج الإيجابية الخاطئة» و«الأضرار الجانبية» على أنها إخفاقات أمنية من الدرجة الأولى.

الضمانات الدنيا للإجراءات القانونية السليمة

1. يتم تسجيل رمز السبب، ومستوى الدليل، وصانع القرار المسؤول عن كل إجراء تقييدي.
2. يمكن للمسجل الحصول على بيان بالأسباب يراعي الخصوصية وتقديم أدلة مضادة.
3. تتم مراجعة الحالات العاجلة استئناف من قبل شخص لم يشارك في اتخاذ القرار الأصلي.
4. ينتشر التراجع عبر نفس القناة ذات الإشارة التي استخدمت في الإجراء الأصلي.
5. إحصاءات الأخطاء والاستعادة الإجمالية متاحة للجمهور؛ أما الأدلة الحساسة فتظل خاضعة لضوابط الوصول.

يمكن أن تسهم درجة المسجل العامة في تعزيز المساءلة، لكن التصنيفات السطحية تتأثر بشكل مشوه بحجم المحفظة، ونطاق التغطية، وتركيبة العملاء، وما إذا كانت النطاقات قد سُجلت بنية خبيثة أو تعرضت للاختراق لاحقًا. ولا يجب أبدًا أن تُستخدم الدرجة كمبرر للحظر الجماعي لجميع عملاء المسجل.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

إذا كان من الضروري استخدام مؤشر مركب لأغراض الحوكمة، فيجب تحديد الأوزان قبل التقييم، وإجراء اختبارات الحساسية واختبارات الأداء الرجعي على الحالات التي تم استبعادها. وينبغي تصنيف النتائج حسب نوعية التسجيل (TLD)، وحجم المسجل، وفئة التهديد، ومصدر الدليل. وتكون النتيجة عبارة عن إشارة للمساءلة — وليست حكماً آلياً بشأن النطاق.

يمكن لسجل الشفافية أن يضع حداً للنزاعات حول ما إذا كان الإشعار موجوداً أم لا، ومتى تم تسليمه، وما هي الإجراءات التي تلت ذلك. غير أن نشر كل دليل قد يؤدي إلى الكشف عن هوية الضحايا، والبيانات الشخصية، وأساليب التحقيق، ومسارات الاستغلال الحالية. والحل يكمن في تطبيق نظام الوصول المتدرج.

كل تحديث يكون «لإضافة فقط»، ومُؤرخًا ومُوقَّعًا. ولا تؤدي التصحيحات إلى محو السجل السابق، بل تُضيف سجلًا جديدًا يحل محله. وينبغي أن يلتزم البحث العام بقواعد الاحتفاظ بالبيانات، ويمنع الكشف الجماعي عن هوية الضحايا، ويوفر سبل الانتصاف في حالة وجود بيانات شخصية غير دقيقة.

يجب أن يكون المشروع التجريبي المفيد صغيرًا بما يكفي لإدارته وكبيرًا بما يكفي لاختبار سلسلة السببية. النطاق المقترح: ثلاثة مسجلين متطوعين، واثنين من مشغلي السجلات، وشريك واحد في الاستضافة/CDN، ومصدرين مستقلين للبيانات البحثية، ولجنة مؤهلة من استئناف. يجب تسجيل بروتوكول الدراسة وتعريفات النتائج قبل توزيع الحالات.

النتائج الأساسية للبرنامج التجريبي

• الزمن الوسيط وزمن المئين 90 من الأدلة المتحقق منها إلى التخفيف الفعّال.
• الفرق في الضرر المنسوب بعد الإخطار أو مؤشر بديل محدد مسبقًا لتعرض الضحية.
• معدل النتائج الإيجابية الكاذبة، ودرجة خطورة الإجراءات الخاطئة، والوقت المتوسط للاستعادة.
• التكرار على مستوى صاحب التسجيل نفسه ومجموعة البنية التحتية وعملية الاحتيال/التصيد.
• التكلفة التشغيلية المباشرة لكل حالة تم التحقق منها ولكل إجراء تخفيف فعال.

ليست الاستجابة لحالات DNS Abuse مرشحًا تقنيًّا بحتًا، ولا مشكلة تستطيع مؤسسة واحدة حلها منفردة. فقد أرست تعديلات العقود لعام 2024 التزامات فعلية بالتخفيف، مع إبقاء مساحة واسعة للتقدير في الأدلة والتوقيت وسبل الانتصاف. وهذه السلطة التقديرية لازمة للتناسب، لكنها تجعل تقييم الأداء صعبًا في غياب سجلات قابلة للمقارنة.

1. توحيد حزمة الأدلة. اعتماد حقول موحدة لمصدر الأدلة والطوابع الزمنية والنتائج لدى المبلّغين وجهات التسجيل ومشغلي السجلات ومزودي البنية التحتية.
2. قِس كل مرحلة على حدة. انشر أزمنة تأكيد الاستلام والفرز واتخاذ القرار والتخفيف والاستئناف بحسب فئة التهديد ومستوى الدليل.
3. التمييز بين التسجيل الخبيث والاختراق. يُفضل اتباع مسار معالجة المشكلات أو إصلاح الحسابات فيما يتعلق بالخدمات الشرعية التي تعرضت للاختراق، والاحتفاظ بالتدابير التي تشمل النطاق بأكمله للحالات التي تكون فيها هذه التدابير متناسبة.
4. اختبر أهداف الاستجابة تجريبيًّا. اختبر أهدافًا زمنية بالساعات للتسجيلات الخبيثة عالية الثقة وأحادية الغرض، بدلًا من إعلان مهلة عامة.
5. نشر بيانات المساءلة التي تراعي الخصوصية. استخدم سجل شفافية متدرج يتضمن سجلات موقعة وأدلة مقيدة.
6. قيّم الأثر السببي. لا تساوِ بين تسريع التعليق وتوفير الأموال قبل أن تقيس دراسة مسجلة مسبقًا أثره على الضحايا وانتقال التهديد إلى قنوات أخرى.

والاستنتاج البناء هنا ليس أن المشكلة الأصلية تختفي بمجرد تقييد نطاق ادعاءاتها، بل أن الادعاءات الرئيسية أصبحت الآن قابلة للاختبار: فنطاق الضرر بعد الكشف الذي يتراوح بين 60 و85% يمثل فرضية كمية صريحة؛ و$100–150 يمثل افتراضًا هندسيًّا قابلًا للاختبار للميزانية الخاصة بطبقة محددة من أجهزة الاستشعار والفرز؛ ويمكن تجربة أهداف الاستجابة على نطاق الساعة بالنسبة للتسجيلات الخبيثة ذات الثقة العالية والغرض الواحد. ينبغي نشر حجم العمل والتكاليف والطوابع الزمنية والنتائج، ومقارنتها بخط أساس، وقياس الانحراف والخطأ. ومن شأن التأكيد أن يبرر التغيير التعاقدي والسياسي؛ أما الرفض فسيحدد الافتراض الذي فشل.