Từ phát hiện đến triển khai biện pháp ứng phó

Câu hỏi này hẹp hơn so với câu “Ai đã thất bại?”: Những sự chậm trễ nào có thể quan sát được giữa việc xác thực bằng chứng và việc thực hiện các biện pháp tương xứng là có thể ngăn chặn được, và biện pháp can thiệp nào có thể giảm thiểu thiệt hại cho nạn nhân mà không gây ra các trường hợp dương tính giả không thể chấp nhận được hoặc thiệt hại phụ?

Phạm vi nghiên cứu là hệ sinh thái gTLD theo hợp đồng: các chủ thể đăng ký, đại lý phân phối, nhà đăng ký tên miền, cơ quan quản lý tên miền và bộ phận đảm bảo tuân thủ hợp đồng của ICANN. Các nhà cung cấp dịch vụ lưu trữ, mạng phân phối nội dung (CDN), trình duyệt, dịch vụ thanh toán, nền tảng quảng cáo, các Trung tâm Ứng phó Sự cố Máy tính (CERT) quốc gia và các cơ quan tư pháp hình sự chỉ được đưa vào khi chúng ảnh hưởng đến chuỗi bằng chứng hoặc chuỗi phản ứng. Các TLD mã quốc gia có cơ chế quản trị khác nhau và không được coi là thuộc phạm vi áp dụng của các hợp đồng gTLD của ICANN.

Tình hình các luận điểm chính

• Bài viết này phân tích Hiệp hội Đăng ký Tên miền (ICANN) với tư cách là một tổ chức quản trị tư nhân và đảm bảo tuân thủ hợp đồng trong hệ sinh thái của Tổ chức Quản lý Tên miền Mở (gTLD). Hiệp hội Đăng ký Tên miền (ICANN) không phải là cơ quan quản lý nhà nước hay cơ quan thực thi pháp luật, nhưng tổ chức này cấp chứng nhận cho các đơn vị đăng ký tên miền, ký kết hợp đồng với các nhà điều hành cơ sở dữ liệu tên miền và đảm bảo việc thực thi các thỏa thuận đó; phạm vi nhiệm vụ hạn chế này không làm giảm trách nhiệm giải trình của tổ chức.
• Khoảng 60–85% là một ước tính định lượng cốt lõi trong mô hình đánh giá tác hại của bài báo. Con số này được trình bày như một ước tính có thể kiểm chứng, được suy ra từ các giả định rõ ràng và quan sát từ các trường hợp cụ thể — chứ không phải là một số liệu thống kê đã được xác lập sẵn cho tất cả các vụ gian lận trên toàn cầu. Việc công bố một bộ dữ liệu ở cấp độ sự cố, trong đó các mốc thời gian về phát hiện, thông báo, giảm thiểu và tác hại được đồng bộ hóa, là bước tiếp theo mang tính chứng cứ.
• Con số 100–150 USD là một ước tính ngân sách kỹ thuật có thể kiểm chứng cho việc thu thập liên tục và phân loại ban đầu trên một tập hợp đã xác định gồm dữ liệu vùng truy cập, dữ liệu Certificate Transparency và dữ liệu nguồn cấp công khai trên cơ sở hạ tầng thông dụng. Đây không phải là chi phí cho khả năng hiển thị toàn cầu hoàn chỉnh, rà soát pháp lý, kháng cáo, tính sẵn sàng cao hay việc thực thi. Do đó, bài báo coi đây là một tiêu chuẩn tham chiếu để tái hiện với khối lượng công việc đã công bố, danh mục nguồn và nhật ký chi phí — chứ không phải là một mức giá chung đã được chứng minh. Sự phân biệt này thu hẹp phạm vi khẳng định mà không làm mất đi sự bất đối xứng về chi phí đang được kiểm chứng.
• So sánh trong ba tuần của bài báo này tập trung vào độ trễ tuân thủ, chứ không phải là một thỏa thuận cấp độ dịch vụ (SLA) chung về việc ngừng hoạt động tên miền. Bài báo “ICANN” Câu hỏi thường gặp về tuân thủ hợp đồng theo đó, hầu hết các loại khiếu nại có thể trải qua ba giai đoạn phản hồi liên tiếp, mỗi giai đoạn kéo dài năm ngày làm việc, trước khi được chuyển lên cấp trên theo thủ tục chính thức, trong khi nhiều chiến dịch độc hại lại diễn ra trong vài giờ hoặc vài ngày. Các hợp đồng cũng quy định riêng rằng phải thực hiện các biện pháp giảm thiểu kịp thời và phù hợp ngay sau khi có bằng chứng đủ cơ sở để xử lý. [2][4]
• Đối với một trường hợp đăng ký độc hại đã được xác minh và chỉ nhằm một mục đích duy nhất, serverHold Đây là một trong những biện pháp khắc phục ở cấp độ DNS gây gián đoạn nghiêm trọng nhất vì nó loại bỏ việc ủy quyền khỏi vùng. Biện pháp này không mang tính toàn diện: nó cũng có thể gây gián đoạn cho dịch vụ thư điện tử, các tên miền con và các dịch vụ hợp pháp; các phản hồi được lưu trong bộ nhớ đệm có thể vẫn tồn tại cho đến khi hết hạn TTL; và các dịch vụ bị xâm phạm hoặc được chia sẻ có thể cần các biện pháp khắc phục có phạm vi hẹp hơn. [4][7]

Báo cáo sáu tháng đầu tiên của ICANN về việc thực hiện các yêu cầu hợp đồng theo các sửa đổi năm 2024 đã ghi nhận 192 cuộc điều tra, hơn 2.700 tên miền bị tạm ngưng, hơn 350 trang lừa đảo bị vô hiệu hóa và hai Thông báo vi phạm. Những con số này không chứng minh rằng các biện pháp kiểm soát hiện tại là đủ, nhưng chúng bác bỏ khẳng định tuyệt đối rằng hệ thống không có bất kỳ hành động nào. [5]

Một số chiến dịch lừa đảo trực tuyến diễn ra trong khoảng thời gian tính bằng giờ hoặc ngày. Trong một nghiên cứu năm 2021, Bijmans và các cộng sự đã báo cáo rằng tuổi thọ trung bình quan sát được là 45 giờ và tuổi thọ trung vị là 24 giờ đối với 1.288 tên miền lừa đảo. [11] Một nghiên cứu năm 2026 về các tên miền lừa đảo mới được đăng ký đã chỉ ra một phân phối có độ lệch rất lớn: đối với 14.112 tên miền có thời gian tồn tại có thể đo lường được, giá trị trung bình là 8,6 ngày và giá trị trung vị là một ngày. [12] Cả hai ví dụ này đều không thể được áp dụng chung cho mọi loại mối đe dọa, nhưng cả hai đều cho thấy lý do tại sao việc đánh giá một quy trình chỉ dựa trên số ngày làm việc có thể bỏ sót các hoạt động lừa đảo và lừa đảo qua email có thời gian tồn tại ngắn.

Tài sản có giá trị kinh tế thường không phải là phí đăng ký, mà là lưu lượng truy cập, nội dung sáng tạo, cơ sở hạ tầng và niềm tin đã được tích lũy xung quanh một tên miền. Quan điểm này có cơ sở; mức độ của nó thay đổi tùy theo từng hoạt động lừa đảo và đánh cắp thông tin. Do đó, công cụ tính toán dưới đây hiển thị từng thông số đầu vào thay vì đưa ra một kết quả giả định dưới dạng giá trị trung bình quan sát được.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

“Thiệt hại sau khi phát hiện” chỉ có thể trở thành một kết quả hữu ích nếu các khái niệm “phát hiện”, “giao nhận” và “thiệt hại” được định nghĩa một cách nhất quán. Dấu thời gian trên danh sách đen không phải là bằng chứng cho thấy nhà đăng ký đã nhận được bằng chứng có thể hành động. Một giao dịch ví điện tử không tự động được quy cho một tên miền cụ thể. Việc một tên miền trở nên không thể truy cập được không xác định được đối tượng nào đã gây ra sự thay đổi đó.

Cấu trúc sự kiện tối thiểu

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Tử số và mẫu số phải tuân theo cùng một quy tắc gán nguồn. Kết quả cần báo cáo về nhóm đối tượng, khoảng tin cậy, kiểm duyệt bên phải, nguồn dữ liệu thiếu, cách xử lý trường hợp nạn nhân trùng lặp và độ nhạy cảm với khoảng thời gian quan sát. Nhãn “có thể phòng ngừa” nên được dành riêng cho thiết kế nghiên cứu nhân quả hoặc, ít nhất, so sánh có ghép đôi — không phải mọi sự kiện xảy ra sau khi có thông báo.

Không có bất kỳ bên nào có thể quan sát hoặc kiểm soát toàn bộ sự việc. Cơ quan đăng ký (registrar) nắm rõ mối quan hệ với người đăng ký; cơ quan quản lý tên miền (registry) kiểm soát trạng thái tên miền do mình quản lý; máy chủ và các nhà cung cấp dịch vụ lưu trữ (CDN) kiểm soát việc phân phối nội dung; các trình duyệt và nhà cung cấp giải pháp bảo mật kiểm soát các cảnh báo; các nhà cung cấp dịch vụ thanh toán và ví điện tử có thể ngắt quãng các giao dịch chuyển tiền; các cơ quan chức năng có thể buộc phải bảo quản hoặc thu giữ dữ liệu. Hệ thống Giao dịch Tên miền (ICANN) soạn thảo và thực thi các hợp đồng trong hệ sinh thái Giao dịch Tên miền (gTLD) nhưng không vận hành một hệ thống điều khiển toàn cầu (EPP).

Khả năng phân tán không có nghĩa là trách nhiệm bị xóa bỏ. Một cơ quan đăng ký bảo trợ không thể từ bỏ nghĩa vụ hợp đồng của mình bằng cách ủy quyền việc xử lý các trường hợp lạm dụng cho một đại lý bán lại; cơ quan đăng ký kiểm soát trạng thái EPP được thiết lập trên máy chủ; ICANN đảm bảo việc tuân thủ hợp đồng. Dòng theo dõi kiểm toán phải ghi lại không chỉ ai đã thực hiện hành động, mà còn ai đã nhận được bằng chứng có thể hành động, chuyển hướng vụ việc, không phản hồi hoặc không thực hiện nghĩa vụ được giao. Quyền hạn pháp lý vẫn thuộc về người được ủy quyền áp dụng biện pháp; trách nhiệm giải trình cũng bao gồm các trường hợp không thực hiện nghĩa vụ đã được ghi chép.

Các sửa đổi toàn cầu tháng 4 năm 2024 đối với Thỏa thuận Công nhận Nhà đăng ký và Thỏa thuận Cơ sở Đăng ký đã thiết lập nghĩa vụ rõ ràng nhằm giảm thiểu DNS Abuse. Nhà đăng ký tên miền phải hành động kịp thời khi có bằng chứng có thể làm căn cứ hành động cho thấy một tên miền do họ bảo trợ đang được sử dụng cho DNS Abuse. Nhà vận hành cơ sở dữ liệu đăng ký phải hành động kịp thời khi họ xác định một cách hợp lý, dựa trên bằng chứng có thể làm căn cứ hành động, rằng một tên miền đã đăng ký đang được sử dụng cho DNS Abuse. Trong cả hai trường hợp, biện pháp phù hợp phụ thuộc vào bối cảnh, mức độ nghiêm trọng và tác hại phụ. [2][3]

Ba dòng thời gian thường bị nhầm lẫn với nhau

Sự linh hoạt này mang lại những lợi ích: một tên miền của trường đại học bị xâm phạm không nên được xử lý giống như một tên miền lừa đảo chuyên dụng mới được đăng ký. Vấn đề về trách nhiệm giải trình nằm ở chỗ rất khó so sánh giữa “kịp thời” và “phù hợp” nếu không có dấu thời gian, phân loại trường hợp và mã kết quả được công bố. Đề xuất dưới đây bổ sung các biện pháp đánh giá và rà soát mà không giả định rằng một thời hạn duy nhất có thể áp dụng cho mọi trường hợp.

Phishing được nêu rõ trong định nghĩa hợp đồng của DNS Abuse. Ranh giới khó hơn liên quan đến các trang dùng tên riêng của mình để lừa người dùng thay vì mạo danh một bên thứ ba có thể xác định—chẳng hạn một số nền tảng đầu tư giả, cửa hàng gian lận, trò lừa khôi phục tiền và kế hoạch chữ ký ví. Tùy tình tiết, các trường hợp này có thể được xử lý như hành vi sai phạm ở lớp nội dung trang web, gian lận người tiêu dùng hoặc một loại pháp lý khác, thay vì DNS Abuse theo hợp đồng.

Tham vấn chính sách có thể xem xét liệu một loại hẹp, có yêu cầu bằng chứng như VFHA nên thuộc hợp đồng tương lai, khung chuyển tiếp liên ngành hay pháp luật quốc gia. Việc mở rộng phải đòi hỏi tiêu chí thiệt hại chính xác, bằng chứng đáng tin cậy, biện pháp tương xứng, rà soát thẩm quyền và cơ chế khiếu nại. Nhãn “lừa đảo” mơ hồ là không đủ.

Một máy chủ thông dụng có thể tải xuống các bản chụp nhanh có thể truy cập được từ các tệp vùng gTLD tham gia và tính toán các thay đổi tại địa phương, thu thập các sự kiện Certificate Transparency được chọn và các nguồn cấp dữ liệu mở, chuẩn hóa các chuỗi ký tự, tính toán hàm băm và sắp xếp thứ tự ưu tiên cho các ứng viên. Đó là một tiêu chuẩn kỹ thuật hữu ích và có thể kiểm chứng — chứ không phải là “việc giám sát toàn diện Internet”. Trong quý 2 năm 2026, Verisign đã báo cáo có 401,6 triệu đăng ký trên tất cả các TLD; CZDS bao gồm các tệp vùng gTLD tham gia thay vì tất cả các TLD, và CT ghi lại các chứng chỉ hoặc chứng chỉ sơ bộ được ghi lại công khai thay vì mọi tên miền đang hoạt động hoặc có hại. [8][9][17]

Khung đề xuất này là một kiến trúc tham chiếu, chứ không phải là một công tắc ngắt toàn cầu tự động. Nó tiêu chuẩn hóa các yếu tố cấu thành vụ việc, hồ sơ quyết định và dấu thời gian, đồng thời cho phép người vận hành được ủy quyền lựa chọn biện pháp hiệu quả gây ít gián đoạn nhất.

Các cấp độ bằng chứng

Hệ thống Đăng ký Tên miền (API) cần tạo ra một trường hợp có thể xác minh được và khởi động bộ đếm thời gian phản hồi có thể kiểm toán; người báo cáo không được phép trực tiếp đưa ra lệnh tạm giữ. Nếu một trường hợp E3/E4 liên quan đến việc đăng ký có mục đích duy nhất nhằm gây hại và hết hạn mà không có quyết định có căn cứ hoặc biện pháp khắc phục hiệu quả, hệ thống sẽ tự động chuyển vụ việc lên nhà điều hành cơ quan đăng ký hoặc một bên khác có thẩm quyền theo hợp đồng hoặc pháp luật. A serverHold Lệnh chỉ có thể được phát ra từ một chủ thể được ủy quyền. Việc tự động nâng cấp quyền hạn và quyền hạn của cơ quan đăng ký để thực hiện các hành động khi hết hạn là những đề xuất thay đổi chính sách, chứ không phải là những khẳng định về quyền hạn hiện có. Mỗi lần chuyển đổi trạng thái đều được ký xác nhận và ghi vào nhật ký kiểm toán.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Một phản hồi thành công sẽ trả về mã vụ việc, cơ quan tiếp nhận, mức độ bằng chứng, các lỗi về tính đầy đủ, thời gian xem xét dự kiến và một URL công khai về tính minh bạch. Phản hồi này không được hứa hẹn bất kỳ biện pháp khắc phục cụ thể nào trước khi cơ quan có thẩm quyền đánh giá thẩm quyền và tác động phụ.

Các mục tiêu về mức độ dịch vụ cần được phân tách lời cảm ơn, phân loại bệnh nhân, quyết định và giảm thiểu hiệu quả. Điều này giúp có thể đo lường hiệu quả mà không cần giả định rằng việc đình chỉ luôn là kết quả đúng đắn.

Đây là các mục tiêu thí điểm. Các giá trị chính xác cần được xác định dựa trên thời gian tồn tại của các mối đe dọa đã quan sát được, số lượng nhân sự, chi phí do sai sót gây ra và các ràng buộc pháp lý, sau đó được công bố kèm theo phân phối mức độ đạt được thay vì chỉ một giá trị trung bình duy nhất.

Việc phản ứng nhanh chóng mà không có các biện pháp bảo vệ có thể khiến dữ liệu sai lệch trở thành nguyên nhân dẫn đến kiểm duyệt, phá hoại thương mại hoặc sự cố ngừng hoạt động của hạ tầng. Do đó, một kiến trúc hợp lý phải coi các trường hợp báo động sai và tác động phụ tiêu cực là những thất bại an ninh nghiêm trọng hàng đầu.

Các đảm bảo tối thiểu về thủ tục pháp lý

1. Mã lý do, mức độ bằng chứng và người ra quyết định chịu trách nhiệm được ghi lại đối với mỗi biện pháp hạn chế.
2. Người đăng ký có thể nhận được bản giải trình lý do đảm bảo quyền riêng tư và nộp bằng chứng phản bác.
3. Các trường hợp khẩn cấp khiếu nại sẽ được xem xét bởi một người không phải là người đã đưa ra quyết định ban đầu.
4. Việc đảo ngược được truyền qua cùng một kênh có dấu như hành động ban đầu.
5. Thống kê tổng hợp về lỗi và khôi phục là thông tin công khai; các bằng chứng nhạy cảm vẫn được kiểm soát quyền truy cập.

Điểm đánh giá nhà đăng ký công khai có thể góp phần nâng cao tính minh bạch, nhưng các bảng xếp hạng đơn thuần thường bị sai lệch do quy mô danh mục, phạm vi dữ liệu đầu vào, cơ cấu khách hàng, cũng như việc các tên miền có bị đăng ký với mục đích xấu hay sau này bị xâm phạm hay không. Điểm đánh giá này tuyệt đối không được dùng làm căn cứ để áp dụng biện pháp chặn tập thể đối với toàn bộ khách hàng của một nhà đăng ký.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Nếu cần sử dụng mô hình tổng hợp cho mục đích quản trị, cần thiết lập các hệ số trọng số trước khi đánh giá, tiến hành kiểm tra độ nhạy và kiểm tra hồi quy trên các trường hợp được tách riêng. Kết quả cần được phân tầng theo loại tên miền (TLD), quy mô cơ quan đăng ký, loại mối đe dọa và nguồn bằng chứng. Kết quả đầu ra là một tín hiệu trách nhiệm — chứ không phải là phán quyết tự động về tên miền.

Một hệ thống đăng ký minh bạch có thể loại bỏ các tranh chấp liên quan đến việc liệu một thông báo có tồn tại hay không, thời điểm nó được gửi đi và các hành động tiếp theo là gì. Tuy nhiên, việc công bố mọi bằng chứng có thể làm lộ danh tính nạn nhân, dữ liệu cá nhân, phương pháp điều tra và các lỗ hổng bảo mật đang được khai thác. Giải pháp là cơ chế truy cập theo cấp độ.

Mỗi bản cập nhật chỉ cho phép ghi thêm, được gắn dấu thời gian và ký điện tử. Các chỉnh sửa không xóa bỏ lịch sử; chúng chỉ thêm một bản ghi mới thay thế bản cũ. Tính năng tìm kiếm công khai phải tuân thủ các quy tắc lưu trữ, ngăn chặn việc phát hiện hàng loạt nạn nhân và cung cấp biện pháp khắc phục đối với dữ liệu cá nhân không chính xác.

Một dự án thí điểm hữu ích cần có quy mô vừa đủ nhỏ để dễ quản lý và vừa đủ lớn để kiểm chứng chuỗi nhân quả. Phạm vi đề xuất: ba cơ quan đăng ký tình nguyện, hai nhà điều hành cơ sở dữ liệu đăng ký, một đối tác cung cấp dịch vụ lưu trữ/CDN, hai nguồn dữ liệu nghiên cứu độc lập và một hội đồng chuyên gia khiếu nại đủ tiêu chuẩn. Phác đồ nghiên cứu và các định nghĩa về kết quả cần được đăng ký trước khi phân bổ các trường hợp nghiên cứu.

Kết quả chính của chương trình thí điểm

• Thời gian trung vị và thời gian ở phân vị thứ 90 từ khi có bằng chứng được xác thực đến khi thực hiện các biện pháp giảm thiểu hiệu quả.
• Sự khác biệt về mức độ tổn hại có thể quy cho sau khi nhận thông báo hoặc một chỉ số thay thế về mức độ phơi nhiễm của nạn nhân đã được xác định trước.
• Tỷ lệ dương tính giả, mức độ nghiêm trọng của hành động sai lầm và thời gian khôi phục trung vị.
• Tái diễn ở cùng chủ thể đăng ký, cụm hạ tầng và cấp độ hoạt động gian lận/phishing.
• Chi phí hoạt động trực tiếp trên mỗi trường hợp được xác nhận và trên mỗi biện pháp giảm thiểu hiệu quả.

Ứng phó DNS Abuse không chỉ là một bộ lọc kỹ thuật, cũng không phải vấn đề mà một tổ chức có thể tự giải quyết. Các sửa đổi hợp đồng năm 2024 đã đặt ra nghĩa vụ giảm thiểu đáng kể, nhưng vẫn dành quyền cân nhắc rộng về bằng chứng, thời điểm và biện pháp khắc phục. Quyền cân nhắc này cần thiết để bảo đảm tính tương xứng; tuy nhiên, khi không có hồ sơ có thể so sánh, hiệu quả thực hiện cũng khó được đánh giá.

1. Chuẩn hóa gói bằng chứng. Áp dụng các trường chung về nguồn gốc bằng chứng, dấu thời gian và kết quả giữa bên báo cáo, nhà đăng ký, cơ sở dữ liệu đăng ký và nhà cung cấp hạ tầng.
2. Đo từng giai đoạn riêng biệt. Công bố thời gian xác nhận tiếp nhận, phân loại, ra quyết định, giảm thiểu và giải quyết khiếu nại theo từng loại mối đe dọa và cấp độ bằng chứng.
3. Phân biệt đăng ký có chủ đích xấu với dịch vụ hợp pháp bị xâm nhập. Ưu tiên khắc phục theo đường dẫn/tài khoản cho dịch vụ hợp pháp bị xâm nhập và chỉ áp dụng biện pháp trên toàn miền khi biện pháp đó tương xứng.
4. Thí điểm các mục tiêu ứng phó. Kiểm thử mục tiêu theo giờ đối với đăng ký độc hại có độ tin cậy cao, chỉ phục vụ một mục đích, thay vì tuyên bố một thời hạn chung.
5. Công bố dữ liệu về trách nhiệm giải trình đảm bảo quyền riêng tư. Sử dụng hệ thống đăng ký minh bạch theo cấp độ với lịch sử đã được ký xác nhận và bằng chứng bị hạn chế.
6. Đánh giá tác động nhân quả. Không đồng nhất việc đình chỉ nhanh hơn với số tiền được bảo toàn cho đến khi một nghiên cứu đăng ký trước đo lường tác động đối với nạn nhân và sự dịch chuyển của mối đe dọa sang kênh khác.

Kết luận mang tính xây dựng ở đây không phải là vấn đề ban đầu sẽ biến mất một khi các khẳng định liên quan được điều chỉnh. Mà là các khẳng định cốt lõi giờ đây có thể được kiểm chứng: khoảng tỷ lệ thiệt hại sau khi phát hiện từ 60–85% là một giả thuyết định lượng rõ ràng; $100–150 là giả định ngân sách kỹ thuật có thể kiểm chứng cho một lớp cảm biến và phân loại được xác định rõ; và các mục tiêu phản ứng trong phạm vi giờ có thể được thử nghiệm đối với các trường hợp đăng ký độc hại có độ tin cậy cao và mục đích duy nhất. Công bố khối lượng công việc, chi phí, dấu thời gian và kết quả, so sánh chúng với mức cơ sở, và đo lường sự chênh lệch và sai số. Việc xác nhận sẽ là cơ sở hợp lý để thay đổi hợp đồng và chính sách; việc bác bỏ sẽ xác định giả định nào đã thất bại.