Глобальный отказ системы управления доменами

Современный фишинг, крипто-дрейнеры и кардинг — это не хакерский андеграунд. Это индустрия с бюджетами на рекламу, метриками конверсии и расчётом окупаемости инвестиций. Центральный расходуемый актив этой индустрии — доменное имя.

Домен ценен не потому, что дорого стоит. Он ценен потому, что вокруг него строится вся стоимость кампании: реклама, трафик, прогрев, репутация, доверие жертвы. Существующая модель устроена так, что домен, о котором ИБ-сообщество достоверно сообщило как о криминальном, продолжает работать дни и недели. Регулятор направляет регистратору вежливый запрос и предоставляет срок на ответ, измеряемый неделями. За это время кампания успевает полностью окупиться и вывести средства.

Три установленных положения

1. Ущерб причиняется после детекта. Основная масса финансовых потерь наступает уже после того, как угроза была технически обнаружена и отправлена в abuse-канал. Это ущерб не от незнания, а от отказа действовать.
2. Мониторинг стоит сто долларов в месяц. Технический мониторинг всей доменной зоны Интернета в реальном времени обходится в $100–150 в месяц. Это не оценка, а текущая практика независимых исследователей. Аргумент «недостаточно ресурсов» несостоятелен на четыре порядка.
3. Регулятор финансируется теми, кого обязан контролировать. Свыше 90% бюджета формируется взносами реестров и регистраторов, привязанными к объёму регистраций. Это классический захват регулятора, при котором эффективное правоприменение противоречит финансовой модели контролёра.

Ложный тезис индустрии

«Блокировка доменов бессмысленна. Домен стоит $1. Заблокируете один — злоумышленник зарегистрирует десять новых.»

Это утверждение технически безграмотно и экономически ошибочно. Оно смешивает стоимость актива со стоимостью его ввода в эксплуатацию. Домен сам по себе — контейнер. Ценность создаётся вложениями вокруг него.

Домен — точка невосстановимого отказа

В отличие от хостинга, IP-адреса или сертификата, домен нельзя «просто перенести». Смена домена означает:

• обнуление всей закупленной рекламы — ссылки ведут в пустоту;
• потерю позиций в поиске и наработанной репутации у фильтров;
• необходимость заново проходить прогрев, а это дни;
• утрату уже приведённых, но не сконвертированных жертв;
• разрыв цепочки доверия в рассылках — SMS и письма со старой ссылкой мертвы.

Именно поэтому serverHold — единственная действительно разрушительная для атакующего мера. Блокировка на уровне реестра не обходится сменой хостера, не зависит от юрисдикции хостинга и работает мгновенно на всю планету. [7]

Введём формальную модель. Пусть B — бюджет кампании, V(t) — накопленное число посетителей к моменту t, c — конверсия в жертву, A — средний ущерб с одной жертвы, T — время жизни домена до блокировки, k — доля, теряемая при обналичивании.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

T_be = V⁻¹( B / (c × A × (1 − k)) )   # точка безубыточности

Численный пример: типовой крипто-дрейнер

Вывод, имеющий регуляторное значение

Блокировка за 2–4 часа  →  кампания убыточна   →  модель нерентабельна   →  атакующий уходит
Блокировка за 21 день   →  доходность >20 000%  →  модель сверхрентабельна →  масштабирование

Публичные макропоказатели

Данные ниже — публично сообщённые оценки. Они заведомо неполны: по разным исследованиям, о мошенничестве сообщает от 15% до 30% пострадавших. То есть это нижняя граница.

Коэффициент рычага = ущерб на домен / стоимость домена

При среднем ущербе $50 000 и цене домена $1,50:

    K = 33 000 : 1

Ни в одной другой области инфраструктуры не существует актива с такой диспропорцией между стоимостью и потенциальным вредом, оставленного при этом без обязательного автоматизированного контроля.

Методология: где именно находится предотвратимый ущерб

Точные абсолютные цифры глобального ущерба недоступны никому. Но абсолютная величина и не нужна. Нужна доля ущерба, наступившая после момента детекта. Она вычисляется сопоставлением трёх независимых временных рядов.

                     Ущерб, наступивший после детекта
Индекс бездействия = ─────────────────────────────────
                            Полный ущерб

Результат наложения

Предотвратимый ущерб при SLA = 24 часа:  ≈ 80–85%
Предотвратимый ущерб при SLA = 21 день:  ≈ 5–10%

Применительно к одному узкому сегменту — кошелёк-дрейнерам с объёмом около $494 млн в год — сокращение медианного времени блокировки с 7 суток до 24 часов сохранило бы порядка $300–370 млн в год. В одном сегменте, по одной категории атак.

Ниже — две кривые на одной оси. Первая описывает фактический сценарий: детект произошёл, реакции нет, ущерб накапливается. Вторая — сценарий с жёстким SLA в 24 часа: домен мёртв, ущерб зафиксирован на уровне первых процентов.

Площадь между двумя кривыми — это деньги конкретных людей. Не абстракция и не статистика. Разница между двумя строками в регламенте.

Скорость детекта против скорости процедуры

Где именно рвётся цепочка

Конфликт интересов как проектный дефект

ICANN — не государственный орган. Это некоммерческая корпорация, чей бюджет порядка $155 млн в год формируется преимущественно взносами реестров и аккредитованных регистраторов. Значительная часть поступлений — транзакционные сборы, пропорциональные числу регистраций. [1]

Аккредитация как продаваемый иммунитет

Статус аккредитованного регистратора на практике функционирует не как знак качества, а как процессуальный щит: домен нельзя отключить одним обращением, как хостинг; обязателен формализованный abuse-процесс с многодневными сроками; регистратор становится единственной точкой входа и может её саботировать. Пока идёт переписка, инфраструктура работает.

Сигнал, посылаемый рынку

Когда регистратор с многолетней историей игнорирования abuse-репортов сохраняет аккредитацию, система транслирует рынку рациональный экономический вывод:

Инвестиции в abuse-отдел и процессы информационной безопасности экономически невыгодны. Игнорирование дешевле соблюдения.

Добросовестные регистраторы, содержащие круглосуточные abuse-команды, оказываются в проигрышной конкурентной позиции. Регулятор, таким образом, не просто не пресекает нарушения — он наказывает соблюдение правил.

Абсурд трёхнедельного срока

На домен, в реальном времени похищающий данные банковских карт, регулятор направляет регистратору запрос и предоставляет три недели на ответ. Аналогия из физического мира: полиция наблюдает ограбление банка, звонит владельцу здания и даёт ему три недели на выяснение отношений с арендаторами, продолжая наблюдать вынос наличности.

Отдельного разбора требует юридико-техническая конструкция, служащая главным укрытием. Обязательства регистраторов сформулированы вокруг понятия DNS Abuse, охватывающего закрытый перечень: вредоносное ПО, ботнеты, фишинг, фарминг и спам как средство доставки перечисленного. Одновременно проводится разграничение с злоупотреблениями на уровне содержимого сайта, которые прямо выводятся из сферы обязательной реакции регистратора. [2] [4]

Как это эксплуатируется

Так же выводятся из-под обязательной реакции: фейковые инвестиционные платформы, поддельные интернет-магазины, схемы pig butchering, липовые благотворительные сборы и мошеннические «службы возврата средств».

Требуемое исправление

Обязательства должны опираться не на способ обмана — подделку бренда, — а на характер вреда: доказанное присвоение чужих средств или данных.

Это центральный раздел документа. Он лишает регулятора последнего оправдания.

Стандартная линия защиты: тотальный мониторинг доменного пространства технически сложен, требует огромных вычислительных мощностей, штата аналитиков и бюджетов, которых нет. С инженерной точки зрения это утверждение ложно.

Все необходимые источники данных публичны и бесплатны

Реальные требования к вычислительным ресурсам

Задача: обработка потока новых доменов — от 150 до 500 тысяч в сутки, — сопоставление с сигнатурами, кросс-чек с фидами, скоринг, генерация репортов. Это потоковая обработка строк и хэшей, вычислительно тривиальная задача. Ей не требуется ни GPU-кластер, ни распределённое хранилище на петабайты.

БЮДЖЕТ РЕГУЛЯТОРА (год)                    СТОИМОСТЬ МОНИТОРИНГА (год)
$155 000 000                               $1 200
████████████████████████████████████       ▏ (0,00077%)

                        Соотношение: 1 : 129 000

Логическое следствие

Если один исследователь на сервере за $100 в месяц видит появление каждого нового домена в мире, получает сигнатуру фишинг-кита или дрейнера в течение минут и формирует репорт с доказательствами, то организация с бюджетом в $155 млн не имеет ни технического, ни финансового оправдания для сроков, измеряемых неделями.

ADE — референсная архитектура, а не глобальный рубильник. Она стандартизирует конверт доказательств, решение и метки времени, оставляя уполномоченной стороне выбор наименее разрушительной эффективной меры.

Проектные принципы

Шесть уровней

Уровни доказательств

Матрица SLA по категориям угроз

Спецификация интерфейса

POST /v1/enforcement/report
Authorization: Bearer <accredited-reporter-token>
Content-Type: application/json

{
  "domain": "example-scam.tld",
  "category": "crypto_drainer",
  "severity": "critical",
  "evidence_tier": "E3",
  "evidence": [
    { "type": "js_hash",       "value": "sha256:a3f1c9…" },
    { "type": "wallet",        "value": "0x9f2b…", "chain": "eth",
      "onchain_loss_usd": 184000 },
    { "type": "http_capture",  "url": "https://example-scam.tld/drain.js",
      "captured_at": "2026-03-01T08:14:22Z", "sha256": "…" },
    { "type": "ct_log_entry",  "value": "crt.sh/?id=112233445" }
  ],
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": false,
    "suspected_compromise": false
  },
  "corroborating_sources": ["feed_a", "chain_intel", "internal_soc"],
  "reporter_signature": "ed25519:…",
  "requested_sla_hours": 6
}

{
  "case_id": "PATD-2026-0301-004871",
  "consensus_score": 0.97,
  "evidence_tier": "E3",
  "patd_url": "https://patd.example/case/PATD-2026-0301-004871",
  "registrar": "example-registrar-inc",
  "registry": "tld-registry-operator",
  "sla_deadline": "2026-03-01T14:20:00Z",
  "escalation": "automatic_serverHold_on_expiry",
  "appeal_endpoint": "/v1/enforcement/appeal/PATD-2026-0301-004871"
}

RTS переводит поведение регистратора из области субъективных оценок в воспроизводимую публичную метрику. Он лишает недобросовестных операторов главного ресурса — размытости и анонимности статистики.

        w₁·U₂₄ + w₂·S + w₃·R
RTS = ───────────────────────── × ln(1 + D/D₀) × (1 − M)
              T_valid

Классификация и последствия

Интеграция с инфраструктурным слоем — главный рычаг

RTS публикуется как машиночитаемый фид. Это позволяет инфраструктурным операторам действовать самостоятельно, не дожидаясь регулятора.

Public Abuse Transparency Database — механизм, устраняющий саботаж не техническими, а репутационными средствами. Каждый верифицированный репорт и вся последующая коммуникация публикуются в открытом, индексируемом, машиночитаемом виде с криптографическими метками времени.

Что PATD делает невозможным

Три уровня доступа

Все оценки приведены без корпоративной надбавки, исходя из фактических рыночных цен на инфраструктуру и открытое программное обеспечение.

Вариант A · Технический минимум

Вариант B · Отказоустойчивый продакшн

Вариант C · Полное внедрение с персоналом

Сопоставление с бюджетом

Даже при самой консервативной оценке — предотвращение $300 млн ущерба в год
в одном узком сегменте при полной смете варианта C:

ROI = ($300 000 000 − $500 400) / $500 400 ≈ 59 850%

Соотношение затрат и предотвращаемого вреда — порядка 1 : 600 000.

Критические контрольные точки

Профессиональная добросовестность требует рассмотреть возражения, которые будут выдвинуты.

«Это цензура и угроза свободе слова»

Предлагаемая система охватывает исключительно доказанное присвоение чужих средств и данных: кражу seed-фраз, реквизитов карт, поддельные платёжные формы. Она принципиально неприменима к политическому, религиозному, журналистскому или любому иному выражению мнений. Конструкция специально спроектирована против произвола: требуется консенсус не менее трёх независимых источников, все доказательства публикуются, действие обратимо в течение часа. Это более высокий стандарт прозрачности, чем существующая практика непубличных блокировок по непубличным основаниям.

«Ложные срабатывания уничтожат легитимный бизнес»

Риск реален и адресован четырьмя механизмами:

1. порог консенсуса — не менее трёх независимых источников либо воспроизводимое криптографическое доказательство;
2. fast-track апелляция с восстановлением менее чем за час;
3. публичная ответственность репортёров: аккредитованный источник с высокой долей ошибок теряет доверенный статус;
4. приоритетная предварительная верификация для доменов с историей и трафиком.

Сравнение рисков: ошибочная блокировка добросовестного домена приносит убыток на несколько часов и полностью обратима. Не-блокировка скам-домена приносит безвозвратную потерю средств жертв. Асимметрия ущерба однозначна. При этом сама асимметрия не является разрешением на небрежность: доля ложных срабатываний — публикуемая метрика, а не внутренняя статистика.

«Нарушается принцип многосторонности»

Многосторонняя модель — метод выработки политик, а не основание для отказа от исполнения уже принятых обязательств. Договорная обязанность реагировать на абуз существует. [2] [3] Речь идёт не о введении новой политики, а об автоматизации исполнения действующего договора — устранении разрыва между записанным правом и фактическим бездействием.

«Реестры юридически не могут блокировать домены по требованию»

Технически serverHold — штатный статус EPP, применяемый реестрами регулярно: при неоплате, судебных решениях, ошибках регистрации. [7] Юридически соглашения между регулятором и реестрами являются договорными и подлежат изменению по той же процедуре, что и любые другие их пункты. Отсутствие полномочия — не факт природы, а следствие сознательного невключения такого пункта.

«Злоумышленники перейдут в национальные зоны»

Это ожидаемый и желательный результат. Во-первых, часть трафика немедленно теряется: национальные зоны имеют более низкое доверие у пользователей, антифрод-систем и рекламных платформ, что напрямую снижает конверсию. Во-вторых, национальные регистратуры находятся под юрисдикцией конкретных государств — там применимы прямые правовые механизмы, отсутствующие в gTLD. В-третьих, публикация RTS позволяет распространить рыночное давление и на них. Вытеснение абуза в более контролируемые и менее конверсионные зоны — не провал стратегии, а её выполнение.

«Регулятор — технический координатор, а не правоохранительный орган»

Организация, которая выдаёт аккредитации, дающие право управлять критическим ресурсом; взимает за это плату; заключает договоры с обязательствами по абузу; ведёт подразделение комплаенса и рассматривает жалобы, — уже приняла на себя регуляторную функцию. Вопрос не в том, регулятор ли она. Вопрос в том, почему принятая функция исполняется способом, гарантированно не влияющим на исход инцидента. Полномочие без исполнения — не координация, а формальное присвоение ответственности без её несения.

«Система уже работает — есть отчёты о приостановленных доменах»

Опубликованная отчётность о правоприменении фиксирует расследования, приостановленные домены и уведомления о нарушении договора. [5] Эти цифры опровергают крайнее утверждение, будто система не делает ничего, — и настоящий документ такого утверждения не делает. Они не опровергают тезис о времени: измеряется не факт действия, а его задержка относительно момента, когда угроза стала известна. Пока не публикуются метки времени детекта, доставки репорта и митигации, утверждение о достаточности контроля остаётся непроверяемым — в обе стороны. Именно это и предлагается измерить.

Настоящий документ устанавливает четыре положения, каждое из которых подкреплено экономическим расчётом, техническими данными или публичной статистикой.

1. Домен — не расходник за один доллар, а капитальный актив, вокруг которого выстроен весь бюджет мошеннической кампании. Быстрая блокировка не «беспокоит» злоумышленника — она делает его модель убыточной. При блокировке за 2–4 часа кампания уходит в минус; при блокировке за 21 день доходность превышает 20 000%.
2. Основная масса ущерба, 60–85%, наступает после того, как угроза была технически обнаружена и передана ответственной стороне. Это ущерб, причинённый не незнанием, а отказом действовать. Он измерим, документируем и адресуем.
3. Полный технический контроль над всей глобальной доменной зоной стоит около $100 в месяц и уже осуществляется независимыми исследователями. Для организации с бюджетом $155 млн в год аргумент «недостаточно ресурсов» несостоятелен на четыре порядка. Полное внедрение вместе с персоналом и юридическим резервом составляет 0,32% бюджета.
4. Регулятору не требуется ничего обнаруживать. ИБ-сообщество выполняет детект бесплатно и уже передаёт результаты. Отсутствующее звено — исполнение: один API-эндпоинт, один таймер SLA и один вызов EPP serverHold.

Из этого следует единственный корректный вывод. Медленный takedown — не техническое ограничение и не следствие нехватки средств. Это свойство спроектированной системы, в которой:

• регулятор финансируется теми, кого обязан контролировать;
• доход привязан к объёму регистраций, который эффективная защита снижает;
• определение «DNS Abuse» составлено так, что крупные категории финансового мошенничества выпадают из-под обязательной реакции;
• аккредитация функционирует как процессуальный иммунитет, недоступный обычному хостингу;
• добросовестные регистраторы, содержащие abuse-команды, оказываются в проигрышной конкурентной позиции.

Организация, принявшая на себя ответственность за адресное пространство Интернета, обязана либо обеспечить исполнение принятых обязательств, либо публично признать, что не исполняет их, — и уступить эту функцию механизмам, способным работать в темпе угрозы.

Каждое положение этого документа фальсифицируемо. Оценка предотвратимого ущерба проверяется публикацией инцидентного датасета. Стоимость мониторинга проверяется публикацией нагрузки, перечня источников и счетов за инфраструктуру. Сроки реакции проверяются пилотом с контрольной группой. Подтверждение обосновывает изменение договоров; опровержение укажет, какое допущение оказалось неверным. Стоимость проверки установлена и составляет сто долларов в месяц.

Все остальные аргументы исчерпаны.

Оговорка о точности

Макропоказатели ущерба основаны на публично опубликованных отчётах. Приведённые абсолютные суммы отражают заявленные потери и являются нижней границей: значительная доля жертв не обращается в официальные инстанции. Расчёты по модели рентабельности в разделе 03 и оценки распределения ущерба во времени в разделе 04 являются аналитическими и приведены с указанием исходных параметров для независимой проверки и пересчёта. Стоимость инфраструктуры в разделах 08 и 12 отражает фактические рыночные цены на выделенные серверы и открытое программное обеспечение и подлежит прямой верификации.