Від виявлення до впровадження заходів реагування

Це питання є більш вузьким, ніж «хто провалився?»: які з помітних затримок між підтвердженими доказами та пропорційними заходами можна запобігти, і яке втручання зменшує шкоду для жертв, не створюючи при цьому неприйнятних помилкових спрацьовувань або побічної шкоди?

Сфера застосування охоплює екосистему gTLD, що діє на договірних засадах: реєстрантів, реселерів, реєстраторів, реєстри та підрозділ ICANN, відповідальний за дотримання договірних зобов’язань. Постачальники послуг хостингу, мережі CDN, браузери, платіжні сервіси, рекламні платформи, національні центри реагування на інциденти (CERT) та органи кримінального правосуддя включаються лише в тих випадках, коли вони впливають на ланцюг доказів або реагування. Домени верхнього рівня з кодом країни мають іншу систему управління і не вважаються такими, що підпадають під дію контрактів ICANN щодо gTLD.

Стан розробки основних тез

• У статті аналізується організація «ICANN» як приватна інституція, що забезпечує управління та дотримання договірних зобов’язань у рамках екосистеми «gTLD». «ICANN» не є державним регуляторним органом чи правоохоронною структурою, проте вона здійснює акредитацію реєстраторів, укладає договори з операторами реєстрів та забезпечує виконання цих угод; такі обмежені повноваження не звільняють організацію від інституційної відповідальності.
• Діапазон 60–85 % є основною кількісною оцінкою в моделі шкоди, представленій у статті. Вона подається як оцінка, що піддається перевірці та виведена на основі чітких припущень і спостережень за конкретними випадками, а не як вже встановлений статистичний показник для всіх випадків шахрайства у світі. Наступним доказовим кроком є оприлюднення набору даних на рівні окремих інцидентів, у якому узгоджені часові мітки виявлення, повідомлення, мінімізації наслідків та заподіяної шкоди.
• Цифра в розмірі 100–150 доларів є перевіреною інженерною оцінкою бюджету для безперервного збору та початкового сортування даних щодо визначеного набору доступних зон, прозорості сертифікатів та даних з публічних каналів про базову інфраструктуру. Це не вартість повної глобальної прозорості, юридичної експертизи, оскаржень, високої доступності чи забезпечення дотримання вимог. Тому в статті ця цифра розглядається як орієнтир, який можна відтворити за допомогою опублікованих даних про робоче навантаження, перелік джерел та журнал витрат, а не як вже перевірена універсальна ціна. Це розмежування звужує масштаб твердження, не скасовуючи при цьому асиметрії витрат, що перевіряється.
• Тритижневе порівняння, наведене в статті, стосується затримки у виконанні вимог, а не універсального SLA щодо вилучення доменів. У статті «ICANN» Часті запитання щодо дотримання умов договору у ньому зазначено, що більшість типів скарг можуть пройти три послідовні періоди реагування тривалістю п’ять робочих днів кожен, перш ніж справа буде офіційно передана на розгляд вищого рівня, тоді як багато зловмисних кампаній тривають годинами або днями. У контрактах окремо передбачено необхідність вжиття оперативних та відповідних заходів щодо мінімізації ризиків після отримання доказів, що дають підстави для дій. [2][4]
• У випадку підтвердженої зловмисної реєстрації, призначеної виключно для однієї мети, serverHold є одним із найбільш руйнівних засобів захисту на рівні DNS, оскільки призводить до видалення делегування із зони. Цей засіб не є універсальним: він також може порушити роботу пошти, субдоменів та легітимних служб; кешовані відповіді можуть зберігатися до закінчення терміну дії TTL; а для скомпрометованих або спільних служб може знадобитися більш цілеспрямовані заходи з мінімізації ризиків. [4][7]

У першому піврічному звіті компанії ICANN щодо виконання договірних зобов’язань відповідно до поправок 2024 року зафіксовано 192 розслідування, понад 2 700 призупинених доменів, понад 350 заблокованих фішингових сторінок та два повідомлення про порушення. Ці цифри не доводять, що нинішні заходи контролю є достатніми, але вони спростовують категоричне твердження про те, що система не вживає жодних заходів. [5]

Деякі фішингові операції тривають від кількох годин до кількох днів. У одному дослідженні 2021 року Бійманс та ін. повідомили, що середня тривалість існування 1 288 фішингових доменів становила 45 годин, а медіана — 24 години. [11] У дослідженні 2026 року, присвяченому нещодавно зареєстрованим фішинговим доменам, було виявлено значний перекіс у розподілі: серед 14 112 доменів із вимірюваним терміном існування середнє значення становило 8,6 дня, а медіана — один день. [12] Жоден із цих прикладів не можна поширювати на всі категорії загроз, але обидва вони демонструють, чому підхід, заснований виключно на підрахунку робочих днів, може не виявити короткочасні шахрайські та фішингові операції.

Економічно значущим активом часто є не реєстраційний внесок, а трафік, креативний потенціал, інфраструктура та довіра, накопичені навколо домену. Таке припущення є цілком ймовірним; його масштаби варіюються залежно від характеру шахрайських та фішингових операцій. Тому наведений нижче калькулятор відображає всі вхідні дані, а не подає гіпотетичний результат у вигляді середнього значення, отриманого на основі спостережень.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

«Втрата після виявлення» може стати корисним результатом лише за умови послідовного визначення понять «виявлення», «передача» та «завдання шкоди». Час внесення до чорного списку не є доказом того, що реєстратор отримав докази, на підставі яких можна вжити заходів. Транзакцію з гаманця не можна автоматично пов’язати з одним конкретним доменом. Те, що домен стає недоступним, не дозволяє встановити, який суб’єкт спричинив цю зміну.

Мінімальна схема події

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

У чисельнику та знаменнику має застосовуватися одне й те саме правило віднесення. У результатах слід вказати когорту, довірчий інтервал, праве цензурування, відсутні джерела, обробку дублікатів жертв та чутливість до вікна спостереження. Термін «попереджуваний» слід застосовувати лише у випадку причинно-наслідкового дизайну або, як мінімум, порівняння за парностями — а не до кожної події після повідомлення.

Жоден окремий учасник не бачить і не контролює весь процес у цілому. Реєстратор знає про відносини між реєстрантами; реєстр контролює стан доменів, що знаходяться в його віданні; хост-провайдер та CDN контролюють доставку контенту; браузери та постачальники засобів безпеки контролюють попередження; постачальники платіжних послуг та електронних гаманців можуть переривати перекази; органи влади можуть вимагати збереження або вилучення даних. ICANN розробляє та забезпечує виконання договорів в екосистемі gTLD, але не керує універсальною площиною управління EPP.

Розподілені повноваження не означають зняття відповідальності. Реєстратор-спонсор не звільняється від своїх договірних зобов’язань, делегуючи розгляд випадків зловживань реселлеру; реєстр контролює стан EPP, встановлений на серверах; організація «ICANN» забезпечує дотримання договірних зобов’язань. У журналі аудиту має фіксуватися не лише те, хто вчинив дію, а й те, хто отримав докази, що дають підстави для вжиття заходів, перенаправив справу, не надав відповіді або не виконав покладене на нього обов’язок. Юридичні повноваження залишаються за особою, уповноваженою застосовувати заходи; відповідальність також поширюється на задокументовані випадки невиконання обов’язків.

Глобальні поправки, внесені у квітні 2024 року до Угоди про акредитацію реєстраторів та Базової угоди про реєстр, запровадили чіткі зобов’язання щодо пом’якшення DNS Abuse. Реєстратори повинні оперативно діяти, коли мають придатні для реагування докази того, що спонсороване ними доменне ім’я використовується для DNS Abuse. Оператори реєстрів повинні оперативно діяти, коли на підставі придатних для реагування доказів вони обґрунтовано визначають, що зареєстроване доменне ім’я використовується для DNS Abuse. В обох випадках належний захід залежить від контексту, серйозності та супутньої шкоди. [2][3]

Три часові лінії, які часто плутають між собою

Така гнучкість має свої переваги: з компрометованим університетським доменом не слід поводитися так само, як із щойно зареєстрованим одноцільовим фішинговим доменом. Проблема підзвітності полягає в тому, що без опублікованих часових міток, категорій випадків та кодів результатів важко порівняти поняття «оперативно» та «належним чином». Наведена нижче пропозиція передбачає введення механізмів оцінки та перегляду, не стверджуючи при цьому, що один термін підходить для всіх випадків.

Фішинг прямо входить до договірного визначення DNS Abuse. Складніша межа стосується сайтів, які вводять користувачів в оману під власною назвою, а не видають себе за конкретну третю сторону: деяких фальшивих інвестиційних платформ, шахрайських магазинів, схем повернення коштів і підпису гаманців. Залежно від обставин такі випадки можуть розглядатися як порушення на рівні контенту сайту, споживче шахрайство або інша правова категорія, а не договірне DNS Abuse.

Політична консультація може визначити, чи має вузька, доказова категорія на кшталт VFHA належати до майбутніх договорів, міжсекторальної системи перенаправлення або національного законодавства. Розширення має вимагати точного критерію шкоди, надійних доказів, пропорційних засобів, перевірки юрисдикції та оскарження. Розмитого ярлика «шахрайство» недостатньо.

Стандартний сервер може завантажувати загальнодоступні знімки файлів зон, що беруть участь у програмі «Прозорість сертифікатів» (gTLD), та обчислювати зміни локально, отримувати вибрані події «Прозорості сертифікатів» та відкриті канали даних, нормалізувати рядки, обчислювати хеші та визначати пріоритетність кандидатів. Це корисний, підданий тестуванню інженерний тест — а не «повний моніторинг Інтернету». У другому кварталі 2026 року компанія Verisign повідомила про 401,6 мільйона реєстрацій у всіх доменах верхнього рівня (TLD); система CZDS охоплює файли зон gTLD, що беруть участь у програмі, а не всі домени верхнього рівня, а система CT реєструє публічно зафіксовані сертифікати або попередні сертифікати, а не кожен активний або шкідливий домен. [8][9][17]

Запропонована система є еталонною архітектурою, а не автоматичним глобальним механізмом відключення. Вона стандартизує формат справи, протокол прийняття рішення та часові мітки, водночас надаючи уповноваженому оператору можливість обрати найменш руйнівний ефективний захід.

Рівні доказовості

Функція «API» повинна створювати перевірену справу та запускати таймер реагування, який підлягає аудиту; репортер не повинен мати можливості безпосередньо видавати команду призупинення. Якщо справа категорії E3/E4 стосується зловмисної реєстрації з єдиною метою і термін її розгляду закінчується без обґрунтованого рішення або ефективних заходів щодо усунення проблеми, система автоматично передає її на розгляд оператору реєстру або іншому суб’єкту, що має договірні чи юридичні повноваження. A serverHold Команда може надходити лише від уповноваженого суб’єкта. Автоматичне підвищення рівня доступу та повноваження реєстру щодо дій після закінчення терміну дії є запропонованими змінами до політики, а не твердженнями щодо існуючих повноважень. Кожен перехід між станами підписується та додається до журналу аудиту.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

У разі успішного виконання запиту повертаються ідентифікатор справи, суб’єкт-одержувач, рівень доказів, помилки щодо повноти даних, орієнтовний термін розгляду та публічна URL-адреса для забезпечення прозорості. У відповіді не слід обіцяти конкретні заходи до того, як компетентний суб’єкт оцінить повноваження та побічні наслідки.

Цілі щодо рівня обслуговування повинні бути розділені подяка, сортування, рішення та ефективне пом'якшення наслідків. Це дозволяє оцінити ефективність, не виходячи з припущення, що відстрочка завжди є правильним результатом.

Це орієнтовні показники. Правильні значення слід визначати на основі даних про тривалість існування загроз, чисельність персоналу, вартість помилок та законодавчі обмеження, а потім оприлюднювати у вигляді розподілів досягнутих значень, а не у вигляді одного середнього значення.

Швидке реагування без відповідних запобіжних заходів може призвести до того, що недостовірні дані спричинять цензуру, комерційний саботаж або збій у роботі інфраструктури. Тому в належній архітектурі помилкові спрацьовування та побічна шкода розглядаються як серйозні порушення безпеки.

Мінімальні гарантії дотримання належного процесу

1. Для кожного обмежувального заходу фіксуються код причини, рівень доказовості та особа, яка прийняла рішення.
2. Реєстрант може отримати обґрунтування, що відповідає вимогам щодо захисту персональних даних, та подати протилежні докази.
3. Справи категорії «оскарження» розглядаються особою, яка не приймала початкове рішення.
4. Скасування поширюється тим самим каналом із тим самим знаком, що й початкова дія.
5. Зведені статистичні дані щодо помилок та відновлення є загальнодоступними; доступ до конфіденційних доказів залишається обмеженим.

Публічний рейтинг реєстратора може сприяти підвищенню підзвітності, проте наївні рейтинги спотворюються через розмір портфеля, охоплення каналів, структуру клієнтської бази, а також через те, чи були домени зареєстровані зловмисно або згодом скомпрометовані. Рейтинг ні в якому разі не може слугувати підставою для колективного блокування всіх клієнтів реєстратора.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Якщо для управління необхідний зведений показник, перед оцінкою слід встановити вагові коефіцієнти, провести тестування на чутливість та ретроспективне тестування на вибірці, що не брала участі в оцінці. Результати слід розбивати за категоріями «TLD», розміром реєстру, класом загрози та джерелом доказів. Кінцевим результатом є сигнал про відповідальність — а не автоматичний висновок щодо домену.

Реєстр прозорості може усунути суперечки щодо того, чи існувало повідомлення, коли воно було надіслано та які дії було вжито після цього. Однак оприлюднення всіх матеріалів може призвести до розкриття особи жертв, їхніх персональних даних, методів розслідування та активних шляхів експлуатації вразливостей. Виходом із ситуації є багаторівневий доступ.

Кожне оновлення додається лише у кінці запису, має мітку часу та підпис. Виправлення не стирають історію; вони додають новий запис, що замінює попередній. Публічний пошук повинен дотримуватися правил зберігання даних, запобігати масовому виявленню потерпілих та надавати можливість виправлення неточних персональних даних.

Ефективний пілотний проект повинен бути достатньо невеликим, щоб його можна було контролювати, і достатньо великим, щоб перевірити причинно-наслідковий ланцюг. Рекомендований обсяг: три реєстратори-добровольці, два оператори реєстру, один партнер з хостингу/CDN, два незалежних джерела даних для дослідження та кваліфікована група експертів оскарження. Протокол дослідження та визначення результатів слід зареєструвати до розподілу випадків.

Основні результати пілотного проєкту

• Медіана та 90-й процентиль часу від отримання підтверджених даних до вжиття ефективних заходів щодо пом’якшення наслідків.
• Різниця у шкоді, що може бути пов’язана з подією після отримання повідомлення, або заздалегідь визначений показник, що відображає ступінь впливу на потерпілих.
• Частота хибнопозитивних результатів, ступінь тяжкості помилкових дій та медіанний час відновлення.
• Повторення на рівні того самого реєстранта, кластера інфраструктури та шахрайської/фішингової операції.
• Прямі операційні витрати на кожен підтверджений випадок та на кожен ефективний захід щодо пом’якшення наслідків.

Реагування на DNS Abuse не є ані суто технічним фільтром, ані проблемою, яку одна установа може розв’язати самостійно. Договірні зміни 2024 року встановили змістовні обов’язки щодо пом’якшення, але залишили значну свободу розсуду стосовно доказів, строків і засобів реагування. Такий розсуд необхідний для пропорційності; без порівнянних записів він водночас ускладнює оцінювання результативності.

1. Стандартизувати пакет доказів. Використовувати спільні поля походження доказів, часових міток і результатів для заявників, реєстраторів, реєстрів та інфраструктурних провайдерів.
2. Вимірюйте етапи окремо. Публікуйте час підтвердження отримання, сортування, ухвалення рішення, пом’якшення та оскарження за класом загрози й рівнем доказовості.
3. Відрізняйте зловмисну реєстрацію від компрометації. Віддавайте перевагу виправленню шляхів доступу/облікових записів у разі порушення безпеки законних сервісів, а заходи на рівні домену застосовуйте лише в тих випадках, коли вони є пропорційними.
4. Пілотуйте цільові показники реагування. Перевіряйте погодинні цілі для високонадійно виявлених одноцільових зловмисних реєстрацій замість проголошення універсального строку.
5. Опублікуйте дані про підзвітність, що забезпечують захист персональних даних. Використовуйте багаторівневий реєстр прозорості з підписаними історіями та обмеженим доступом до доказів.
6. Оцініть причинно-наслідковий вплив. Не ототожнюйте швидше призупинення зі збереженими коштами, доки попередньо зареєстроване дослідження не виміряє наслідки для потерпілих і переміщення загрози на інші канали чи інфраструктуру.

Конструктивний висновок полягає не в тому, що початкова проблема зникає після уточнення її тверджень. Він полягає в тому, що тепер можна перевірити основні твердження: діапазон шкоди після виявлення у 60–85 % є чіткою кількісною гіпотезою; $100–150 — це перевірюване припущення щодо інженерного бюджету для визначеного рівня сенсорів та сортування; а цільові показники реагування в межах години можна випробувати на прикладі високодостовірних, одноцільових зловмисних реєстрацій. Опублікуйте обсяг роботи, витрати, часові мітки та результати, порівняйте їх із базовим рівнем та виміряйте відхилення й похибки. Підтвердження виправдало б зміни в контрактах та політиці; відхилення дозволило б визначити, яке припущення виявилося хибним.