Tespitten müdahale tedbirlerinin uygulanmasına

Soru, “kim başarısız oldu?” sorusundan daha dar kapsamlıdır: Doğrulanmış kanıtlarla orantılı önlemlerin alınması arasında gözlemlenebilen gecikmelerden hangileri önlenebilir ve hangi müdahale, kabul edilemez düzeyde yanlış pozitif sonuçlara veya ikincil hasara yol açmadan mağdurun zararını azaltır?

Kapsam, sözleşmeye tabi gTLD ekosistemidir: kayıt sahipleri, yeniden satıcılar, kayıt operatörleri, kayıt merkezleri ve ICANN’un sözleşmeye uygunluk birimi. Barındırma sağlayıcıları, CDN’ler, tarayıcılar, ödeme hizmetleri, reklam platformları, ulusal CERT’ler ve ceza adaleti yetkilileri, yalnızca kanıt veya müdahale zincirini etkilediği durumlarda kapsama dahil edilir. Ülke kodu TLD’leri farklı bir yönetişim yapısına sahiptir ve ICANN adresindeki gTLD sözleşmelerine tabi olduğu varsayılmaz.

Temel tezlerin durumu

• Bu makale, ICANN adresini, gTLD ekosistemi içindeki özel bir yönetişim ve sözleşmeye uyum kurumu olarak analiz etmektedir. ICANN, bir devlet düzenleme kurumu veya kolluk organı değildir; ancak kayıt kuruluşlarını akredite eder, kayıt defteri işletmecileriyle sözleşmeler yapar ve bu sözleşmelerin uygulanmasını sağlar; bu sınırlı yetki alanı, kurumsal hesap verebilirliği ortadan kaldırmaz.
• %60–85 aralığı, makalenin zarar modelinde merkezi bir nicel tahmin niteliğindedir. Bu tahmin, tüm küresel dolandırıcılık vakaları için önceden belirlenmiş bir istatistik olarak değil, açık varsayımlardan ve vaka gözlemlerinden türetilmiş, test edilebilir bir tahmin olarak sunulmaktadır. Tespit, bildirim, etki azaltma ve zarar zaman damgalarını birbiriyle uyumlu hale getiren olay düzeyinde bir veri setinin yayınlanması, bir sonraki kanıtlama adımıdır.
• 100–150 dolarlık rakam, erişilebilir bir bölge kümesi, Sertifika Şeffaflığı ve temel altyapıdaki kamuya açık veri akışları üzerinden sürekli veri toplama ve ilk ön eleme işlemleri için test edilebilir bir mühendislik bütçe tahmini niteliğindedir. Bu rakam, tam küresel görünürlük, hukuki inceleme, itirazlar, yüksek kullanılabilirlik veya yaptırımların maliyetini yansıtmamaktadır. Bu nedenle makale, bu rakamı halihazırda kanıtlanmış evrensel bir fiyat olarak değil, yayınlanmış bir iş yükü, kaynak envanteri ve maliyet günlüğü ile tekrarlanabilir bir referans noktası olarak ele almaktadır. Bu ayrım, test edilen maliyet asimetrisini ortadan kaldırmadan iddiayı sınırlamaktadır.
• Makalede yer alan üç haftalık karşılaştırma, uyum gecikmesiyle ilgilidir; evrensel bir alan adı kaldırma hizmet seviyesi anlaşması (SLA) ile ilgili değildir. ICANN’s Sözleşme Uyumluluğu SSS belirtilmektedir ki, çoğu şikayet türü resmi bir üst makama iletilmeden önce arka arkaya üç adet beş iş günü süren yanıt süresinden geçebilir; oysa birçok kötü niyetli kampanya saatler ya da günler boyunca devam eder. Sözleşmelerde ayrıca, eyleme geçilebilecek kanıtların ortaya çıkmasının ardından derhal ve uygun şekilde önlem alınması şartı getirilmiştir. [2][4]
• Doğrulanmış, tek amaçlı bir kötü niyetli kayıt için, serverHold DNS düzeyindeki en büyük aksaklıklara yol açan çözümlerden biridir, çünkü bölgeden yetkilendirmeyi kaldırır. Bu çözüm evrensel değildir: posta hizmetlerini, alt etki alanlarını ve meşru hizmetleri de aksatabilir; önbelleğe alınmış yanıtlar TTL süresi dolana kadar kalabilir; ayrıca güvenliği ihlal edilmiş veya paylaşılan hizmetler için daha dar kapsamlı önlemler gerekebilir. [4][7]

ICANN’ın 2024 değişiklikleri kapsamında sözleşme şartlarının uygulanmasına ilişkin ilk altı aylık raporunda, 192 soruşturma, 2.700’den fazla askıya alınmış alan adı, 350’den fazla devre dışı bırakılmış kimlik avı sayfası ve iki adet İhlal Bildirimi kaydedildi. Bu rakamlar, mevcut denetimlerin yeterli olduğunu kanıtlamasa da, sistemin hiçbir önlem almadığı yönündeki mutlak iddiayı çürütmektedir. [5]

Bazı kimlik avı operasyonları saatler veya günler sürer. Bijmans ve arkadaşları, 2021 yılında yaptıkları bir çalışmada 1.288 kimlik avı etki alanı için gözlemlenen ortalama ömür süresinin 45 saat, medyan ömür süresinin ise 24 saat olduğunu bildirmiştir. [11] 2026 yılında yeni kaydedilen kimlik avı alan adları üzerine yapılan bir araştırmada, son derece çarpık bir dağılım ortaya çıktı: ömürleri ölçülebilen 14.112 alan adı için ortalama ömür 8,6 gün, medyan ömür ise bir gündü. [12] Her iki örnek de tüm tehdit sınıflarına genelleştirilemez, ancak her ikisi de yalnızca iş günleri bazında ölçülen bir sürecin, kısa süreli dolandırıcılık ve kimlik avı operasyonlarını neden gözden kaçırabileceğini göstermektedir.

Ekonomik açıdan önemli olan varlık, genellikle kayıt ücreti değil, bir alan adı etrafında biriken trafik, yaratıcı içerik, altyapı ve güvendir. Bu sezgi makul görünmektedir; bunun boyutu ise dolandırıcılık ve kimlik avı operasyonlarına göre değişiklik gösterir. Bu nedenle, aşağıdaki hesaplayıcı, varsayımsal bir sonucu gözlemlenen ortalama olarak sunmak yerine her bir girdi değerini ayrı ayrı göstermektedir.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

“Tespitten sonra meydana gelen kayıp”, ancak tespit, iletim ve zarar kavramları tutarlı bir şekilde tanımlandığında yararlı bir sonuç haline gelebilir. Kara liste zaman damgası, kayıt kuruluşunun eyleme geçirilebilir kanıt aldığının kanıtı değildir. Bir cüzdan işlemi, otomatik olarak tek bir alan adıyla ilişkilendirilemez. Bir alan adının erişilemez hale gelmesi, bu değişikliğe hangi aktörün neden olduğunu belirlemez.

Asgari etkinlik şeması

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Pay ve payda aynı atıf kuralını kullanmalıdır. Sonuçlarda kohort, güven aralığı, sağdan sansürleme, eksik kaynaklar, mükerrer mağdurların ele alınışı ve gözlem penceresine duyarlılık bildirilmelidir. “Önlenebilir” etiketi, nedensel bir tasarım veya en azından eşleştirilmiş bir karşılaştırma için ayrılmalıdır — bildirimden sonraki her olay için değil.

Hiçbir aktör olayı bütünüyle göremez veya kontrol edemez. Kayıt memuru, kayıt sahibi ile kayıt kuruluşu arasındaki ilişkiyi bilir; kayıt kuruluşu, kendi belirlediği alan adı durumunu kontrol eder; barındırma hizmeti sağlayıcısı ve CDN içerik dağıtımını kontrol eder; tarayıcılar ve güvenlik sağlayıcıları uyarıları kontrol eder; ödeme ve cüzdan sağlayıcıları transferleri durdurabilir; yetkili makamlar ise verilerin muhafaza edilmesini veya el konulmasını zorunlu kılabilir. ICANN, gTLD ekosisteminde sözleşmeleri hazırlar ve uygulatır, ancak evrensel bir EPP kontrol düzlemi işletmez.

Yetkinin dağıtılması, sorumluluğun ortadan kalkması anlamına gelmez. Bir sponsor kayıt kuruluşu, kötüye kullanım vakalarının ele alınmasını bir bayiye devretmekle sözleşmesel yükümlülüklerinden kurtulmaz; kayıt merkezi, sunucu tarafında ayarlanan EPP durumunu kontrol eder; ICANN ise sözleşmeye uygunluğu sağlar. Denetim izi, yalnızca kimin harekete geçtiğini değil, aynı zamanda eyleme geçirilebilir kanıtları kimin aldığını, vakayı kimin başka bir birime yönlendirdiğini, kimin yanıt vermediğini veya kimin kendisine verilen görevi yerine getirmediğini de kaydetmelidir. Yasal yetki, bir önlemi uygulama yetkisine sahip olan kişide kalır; hesap verebilirlik, belgelenmiş görev ihlallerini de kapsar.

Kayıt Kuruluşu Akreditasyon Anlaşması ve Temel Kayıt Anlaşması’nda Nisan 2024’te yapılan küresel değişiklikler, DNS Abuse faaliyetlerini azaltmaya yönelik açık yükümlülükler getirdi. Kayıt kuruluşları, sponsor oldukları bir alan adının DNS Abuse amacıyla kullanıldığına ilişkin eyleme geçirilebilir kanıta sahip olduklarında derhal harekete geçmelidir. Kayıt operatörleri, eyleme geçirilebilir kanıta dayanarak kayıtlı bir alan adının DNS Abuse amacıyla kullanıldığını makul biçimde belirlediklerinde derhal harekete geçmelidir. Her iki durumda da uygun önlem bağlama, ciddiyete ve dolaylı zarara bağlıdır. [2][3]

Sık sık birbiriyle karıştırılan üç zaman çizgisi

Bu esnekliğin bazı avantajları vardır: Güvenliği ihlal edilmiş bir üniversite alan adı, yeni kaydedilmiş, tek amaçlı bir oltalama alan adı gibi ele alınmamalıdır. Hesap verebilirlik sorununa gelince, yayınlanmış zaman damgaları, vaka kategorileri ve sonuç kodları olmadan “hızlı” ve “uygun” kavramlarını karşılaştırmak zordur. Aşağıdaki öneri, tek bir son tarihin her vakaya uymuş gibi bir izlenim yaratmadan, ölçüm ve inceleme süreçlerini eklemektedir.

Kimlik avı, DNS Abuse sözleşme tanımına açıkça dâhildir. Daha güç sınır, tanımlanabilir bir üçüncü tarafı taklit etmek yerine özgün bir ad altında kullanıcıları aldatan sitelerdir: bazı sahte yatırım platformları, dolandırıcı mağazalar, para kurtarma dolandırıcılıkları ve cüzdan imza düzenekleri. Olgulara göre bunlar sözleşmesel DNS Abuse yerine web sitesi içeriği düzeyinde ihlal, tüketici dolandırıcılığı veya başka bir hukuki kategori olarak değerlendirilebilir.

Politika istişaresi, VFHA gibi dar ve kanıta dayalı bir kategorinin gelecekteki sözleşmelerde, sektörler arası sevk çerçevesinde veya ulusal hukukta yer alıp almamasını değerlendirebilir. Genişletme; kesin zarar testi, güvenilir kanıt, orantılı çözüm, yargı alanı incelemesi ve itiraz gerektirmelidir. Belirsiz “dolandırıcılık” etiketleri yeterli değildir.

Bir standart sunucu, katılımcı gTLD bölge dosyalarının erişilebilir anlık görüntülerini indirebilir ve değişiklikleri yerel olarak hesaplayabilir, seçilen Sertifika Şeffaflığı olaylarını ve açık beslemeleri alabilir, dizeleri normalleştirebilir, karma değerleri hesaplayabilir ve adayları öncelik sırasına koyabilir. Bu, “İnternet’in tam izlenmesi” değil, kullanışlı ve test edilebilir bir mühendislik karşılaştırma ölçütüdür. Verisign, 2026 yılının ikinci çeyreğinde tüm TLD’lerde toplam 401,6 milyon kayıt olduğunu bildirmiştir; CZDS, tüm TLD’leri değil, katılımcı gTLD bölge dosyalarını kapsar ve CT, her aktif veya zararlı etki alanını değil, kamuya açık olarak kaydedilmiş sertifikaları veya ön sertifikaları kaydeder. [8][9][17]

Önerilen çerçeve, otomatik bir küresel acil durdurma mekanizması değil, bir referans mimaridir. Bu çerçeve, vaka dosyası, karar kaydı ve zaman damgalarını standart hale getirirken, yetkili operatörün en az aksaklığa yol açan etkili önlemi seçmesine imkân tanır.

Kanıt düzeyleri

API, doğrulanabilir bir vaka oluşturmalı ve denetlenebilir bir müdahale süresini başlatmalıdır; bir raporlayıcı, doğrudan bir durdurma emri verememelidir. Bir E3/E4 vakası, tek amaçlı kötü niyetli bir kayıtla ilgiliyse ve gerekçeli bir karar veya etkili bir önlem alınmadan süresi dolarsa, sistem bunu otomatik olarak kayıt operatörüne veya sözleşmeye dayalı ya da yasal yetkiye sahip başka bir aktöre iletir. A serverHold Komut, yalnızca yetkili bir aktör tarafından verilebilir. Süresinin dolması durumunda otomatik yetki yükseltme ve kayıt defteri yetkisi, mevcut yetkiyle ilgili iddialar değil, önerilen politika değişiklikleridir. Her durum geçişi imzalanır ve denetim günlüğüne eklenir.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Başarılı bir yanıt, vaka kimliği, alıcı kurum, kanıt düzeyi, eksiklik hataları, hedef inceleme süresi ve kamuya açık şeffaflık URL’sini içerir. Yetkili bir kurum, yetki ve dolaylı etkileri değerlendirmeden önce belirli bir çözüm vaat etmemelidir.

Hizmet düzeyi hedefleri birbirinden ayrılmalıdır teşekkür, triyaj, karar ve etkili azaltma. Bu sayede, süspansiyonun her zaman doğru sonuç olduğu varsayılmadan performans ölçülebilir hale gelir.

Bunlar pilot hedeflerdir. Doğru değerler, gözlemlenen tehdit ömürleri, personel sayısı, hata maliyeti ve yasal kısıtlamalar dikkate alınarak belirlenmeli ve tek bir ortalama yerine ulaşım dağılımları ile birlikte yayınlanmalıdır.

Güvenlik önlemleri alınmadan hızlı müdahale, hatalı verilerin sansüre, ticari sabotaja veya altyapı kesintilerine dönüşmesine yol açabilir. Bu nedenle, meşru bir mimari, yanlış pozitif sonuçları ve dolaylı zararları birinci dereceden güvenlik başarısızlıkları olarak değerlendirir.

Asgari adil yargılama güvenceleri

1. Her kısıtlayıcı önlem için gerekçe kodu, kanıt düzeyi ve karar verici kaydedilir.
2. Kayıt sahibi, gizlilik kurallarına uygun bir gerekçe bildirisi alabilir ve buna karşı deliller sunabilir.
3. Acil durumlar itiraz adresinde, ilk kararı veren kişi dışında bir kişi tarafından incelenir.
4. Geri alma işlemi, orijinal eylemle aynı işaretli kanal üzerinden yayılır.
5. Toplu hata ve geri yükleme istatistikleri herkese açıktır; hassas deliller ise erişim kısıtlamasına tabidir.

Bir kayıt kuruluşunun kamuya açık puanı hesap verebilirliği artırabilir; ancak, portföy büyüklüğü, besleme kapsamı, müşteri dağılımı ve alan adlarının kötü niyetle kaydedilip kaydedilmediği ya da daha sonra ele geçirilip geçirilmediği gibi faktörler, yüzeysel sıralamaları çarpıtabilir. Bir puan, hiçbir şekilde bir kayıt kuruluşunun tüm müşterilerinin toplu olarak engellenmesini haklı göstermemelidir.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Yönetişim amacıyla bir bileşik model gerekliyse, değerlendirme öncesinde ağırlıklar belirlenmeli, duyarlılık testleri yapılmalı ve test dışı bırakılan vakalar üzerinde geriye dönük testler gerçekleştirilmelidir. Sonuçlar, TLD, kayıt kuruluşunun büyüklüğü, tehdit sınıfı ve kanıt kaynağına göre sınıflandırılmalıdır. Ortaya çıkan sonuç, bir hesap verebilirlik göstergesidir — otomatik bir alan adı kararı değildir.

Şeffaflık kayıt sistemi, bir bildirimin var olup olmadığı, ne zaman iletildiği ve bunun ardından hangi önlemlerin alındığına dair anlaşmazlıkları ortadan kaldırabilir. Ancak her türlü kanıtın yayınlanması, mağdurları, kişisel verileri, soruşturma yöntemlerini ve aktif istismar yollarını açığa çıkarabilir. Çözüm, kademeli erişimdir.

Her güncelleme yalnızca ekleme amaçlıdır, zaman damgası taşır ve imzalanmıştır. Düzeltmeler geçmişi silmez; yerine geçen yeni bir kayıt ekler. Halka açık arama işlemleri, saklama kurallarına uymalı, mağdurların toplu olarak tespit edilmesini önlemeli ve hatalı kişisel veriler için düzeltme imkânı sunmalıdır.

Yararlı bir pilot çalışma, yönetilebilecek kadar küçük ve nedensel zinciri test edebilecek kadar geniş kapsamlı olmalıdır. Önerilen kapsam: üç gönüllü kayıt sorumlusu, iki kayıt operatörü, bir barındırma/CDN ortağı, iki bağımsız araştırma kaynağı ve nitelikli bir itiraz paneli. Çalışma protokolü ve sonuç tanımları, vakalar atanmadan önce kaydedilmelidir.

Pilot çalışmanın birincil sonuçları

• Doğrulanmış bulgudan etkili önleme tedbirlerinin alınmasına kadar geçen sürenin medyan değeri ve 90. persentili.
• Bildirim sonrası atfedilebilir zarardaki fark ya da önceden belirlenmiş bir mağdur-maruz kalma göstergesi.
• Yanlış pozitif oranı, hatalı eylemin ciddiyeti ve medyan düzeltme süresi.
• Aynı alan adı sahibi, altyapı kümesi ve dolandırıcılık/kimlik avı operasyonu düzeyinde tekrar.
• Doğrulanmış her vaka ve etkili her önleme tedbiri başına doğrudan işletme maliyeti.

DNS Abuse müdahalesi ne yalnızca teknik bir filtredir ne de tek bir kurumun kendi başına çözebileceği bir sorundur. 2024 sözleşme değişiklikleri anlamlı azaltım yükümlülükleri getirmiş, ancak kanıt, zamanlama ve telafi konusunda önemli takdir yetkisi bırakmıştır. Bu takdir yetkisi orantılılık için gereklidir; karşılaştırılabilir kayıtlar olmadığında performans değerlendirmesini de güçleştirir.

1. Kanıt paketini standartlaştırın. Bildirim yapanlar, kayıt kuruluşları, kayıt operatörleri ve altyapı sağlayıcıları arasında ortak kanıt kaynağı, zaman damgası ve sonuç alanları kullanın.
2. Aşamaları ayrı ayrı ölçün. Tehdit sınıfı ve kanıt kademesine göre bildirimin alındığının teyidi, önceliklendirme, karar, azaltım ve itiraz sürelerini yayımlayın.
3. Kötü niyetli kayıt işlemlerini, sistemin ele geçirilmesi durumlarından ayırt edin. Güvenliği ihlal edilmiş meşru hizmetler için yol/hesap düzeltme yöntemini tercih edin ve etki alanı genelindeki önlemleri, bu önlemlerin orantılı olduğu durumlar için saklayın.
4. Pilot müdahale hedefleri. Evrensel bir son tarih belirlemek yerine, yüksek güvenilirliğe sahip, tek amaçlı kötü niyetli kayıtlar için saat bazında hedefleri test edin.
5. Gizlilik kurallarına uygun hesap verebilirlik verilerini yayınlayın. İmzalanmış geçmiş kayıtları ve sınırlı kanıtları içeren kademeli bir şeffaflık kayıt sistemi kullanın.
6. Nedensel etkiyi değerlendirin. Ön kayıtlı bir çalışma mağdur üzerindeki etkileri ve tehdidin başka kanallara kaymasını ölçene kadar, daha hızlı askıya almayı tasarruf edilen parayla eşdeğer görmeyin.

Olumlu sonuç, iddialar sınırlandırıldığında asıl sorunun ortadan kalktığı değildir. Asıl sonuç, temel iddiaların artık test edilebilir hale gelmesidir: Tespit sonrası zararın %60–85 aralığı, açık ve nicel bir hipotezdir; 100–150 dolarlık tutar, tanımlanmış bir sensör ve ön sınıflandırma katmanı için test edilebilir bir mühendislik bütçesi varsayımıdır; saat ölçeğindeki müdahale hedefleri ise yüksek güvenilirliğe sahip, tek amaçlı kötü niyetli kayıtlar için pilot uygulamaya konulabilir. İş yükünü, maliyetleri, zaman damgalarını ve sonuçları yayınlayın, bunları bir referans değerle karşılaştırın ve sapma ile hatayı ölçün. Doğrulama, sözleşme ve politika değişikliklerini haklı çıkaracaktır; reddedilmesi ise hangi varsayımın başarısız olduğunu ortaya çıkaracaktır.