ICANN推出关联域名检测方案：打击批量恶意域名，补齐DNS治理短板

域名是互联网访问的入口，也是网络钓鱼、恶意木马、仿冒诈骗的重灾区。长期以来，安全治理存在一个痛点：黑产批量注册一批域名，当其中一个恶意域名被封禁，攻击者立刻启用同批次其他备用域名继续作案，单点关停很难根除攻击链条。近日ICANN在DNS滥用缓解政策草案报告中，提出关联域名检测方法，试图从单点处置升级为团伙式批量溯源，重塑域名反滥用的治理逻辑。

一、单点封禁治标难治本，黑产批量域名成治理顽疾

传统域名安全处置模式属于“发现一个、处理一个”。威胁团伙会一次性批量注册数十、上百个域名，使用相似注册信息、同一组域名服务器、相近注册时间，作为攻击储备池。

一旦某个钓鱼域名被举报、解析关停，攻击者马上切换同批次备用域名，攻击Campaign持续生效。治理方只能被动追着恶意域名封堵，无法一次性挖掘整个攻击域名集群。很多隐藏未启用的备用域名，在常规安全扫描中很难被发现，成为网络威胁的潜伏弹药库。

ICANN报告指出，这种分散处置模式长期存在漏洞。域名注册商只能针对收到举报的域名采取行动，缺乏标准化机制去主动检索、排查同一攻击者名下其他关联域名，这也是钓鱼、品牌仿冒案件反复复发的重要原因。

二、什么是ICANN关联域名检测ADC方法？

关联域名检测ADC，核心逻辑是：当注册商拿到某一域名存在DNS滥用的有效证据时，触发关联域名排查，基于多维度特征挖掘属于同一主体、同一攻击活动的其他域名，而不是只处理被举报的单个域名。

检测的关联特征包含多个维度：注册账号与经销商信息、域名创建时间、域名服务器配置、注册交易标识、域名文本相似度、IP基础设施信息等。只要多个域名在多项特征上高度重合，就会被标记为潜在关联域名，启动调查。

报告特别强调一条关键边界：判定“存在关联”不等于直接认定域名恶意。关联仅作为调查线索，注册商需要进一步核验，区分“恶意注册的域名”和“账号被黑客入侵劫持的正常域名”，被劫持域名不纳入ADC强制排查范围，避免误伤合法用户。

同时，检测范围覆盖当前正在滥用、近期滥用、间歇性发作甚至曾经停用的域名。攻击者常用“轮询启用域名”的方式规避监控，方案不再只看实时活跃状态，把曾经有滥用痕迹的域名也纳入评估，打击域名轮换战术。

三、这套方案落地后，会带来哪些改变？

第一，治理从单点止损升级到集群溯源。一旦一个钓鱼域名触发告警，注册商可顺着关联特征挖出整套域名池，提前处置还未上线的备用恶意域名，斩断攻击储备。

第二，建立统一标准，减少注册商执行差异。过去不少注册商已经有内部溯源排查手段，但做法参差不齐，没有统一规范。ADC方案试图将关联域名检查标准化，形成行业统一的操作框架，提升全球域名治理协同能力。

第三，降低品牌维权成本。品牌遭遇仿冒钓鱼域名时，往往会遇到仿冒域名源源不断新增。标准化ADC机制，能帮助注册商一次性发现同主体大量仿冒域名，减少品牌方反复举报的重复工作。

当然落地也存在现实挑战。海量域名数据检索会带来算力、隐私合规压力；不同地区数据法规不同，跨注册商、跨顶级域的数据互通存在壁垒。如何平衡安全排查与域名注册人隐私保护，是后续落地需要持续讨论的重点。

四、行业多方表态，政策仍在公开征询阶段

目前ADC属于ICANNDNS滥用缓解PDP工作组的初步建议，还处在公众意见征集阶段，注册商、商标组织、安全厂商、社群各方正在提交反馈。

商标协会、DNS安全组织普遍支持这一方向，认为ADC是当前DNS反滥用最有效的手段之一；部分注册商提出，需要明确证据门槛、调查边界，避免无限制扩大检索范围，增加合规负担。各方共识在于：关联域名检查不能无限扩大，要保留合理、可复核的调查流程，防止误封正常域名。

总结

互联网域名滥用对抗，本质是攻防双方的博弈。攻击者靠批量注册域名建立攻击储备，传统单点处置天然处于劣势。ICANN本次提出的关联域名检测方法，核心创新就是跳出“一个域名一个案子”的旧框架，从域名之间的关联关系入手，挖掘背后同一攻击主体。

这套机制如果最终落地实施，会让域名注册商拥有标准化的集群溯源工具，提前发现潜伏的恶意域名，压缩黑产的生存空间。当然，政策从草案到落地、再到全球注册商全面执行，还有一段漫长的社群讨论与落地实施之路。未来，关联域名检测或将成为全球域名生态抵御钓鱼、恶意攻击的核心基础能力。