Как NiceNIC защищает владельцев доменов при проверках нарушений

Получение жалобы на злоупотребление не означает, что NiceNIC уже признал ваш домен злоупотребляющим. Это означает, что отчет, сигнал или обвинение должны быть тщательно рассмотрены. Роль NiceNIC — защищать законных владельцев доменов и реселлеров, одновременно выполняя обязательства перед ICANN, регистраторами и индустрией доменов. Мы рассматриваем доказательства, учитываем контекст, отличаем скомпрометированные домены от злонамеренных регистраций и стремимся избегать ненужных нарушений, где это возможно. Если вы считаете, что отчет неверен, устарел или уже исправлен, вы можете предоставить разъяснения, доказательства очистки или подтверждающие материалы через официальную службу поддержки или канал для жалоб на злоупотребления.


Почему эта проблема важна для владельцев доменов и реселлеров
Доменное имя часто связано с реальным бизнесом, интернет-магазином, клиентским порталом, деловой электронной почтой, рекламными кампаниями, рейтингом в поисковых системах, API-системами или долгосрочной брендинговой идентичностью.

Для реселлеров один случай злоупотребления также может повлиять на отношения с конечным клиентом. Если процесс неясен, реселлер может столкнуться с давлением с обеих сторон: клиент хочет сохранить домен в сети, в то время как регистратор обязан проверить отчет в соответствии с отраслевыми обязательствами.

Именно поэтому обработка жалоб на злоупотребления не может рассматриваться как простой процесс «жалоба получена, домен приостановлен».
Ответственный регистратор должен одновременно защищать три вещи:
Во-первых, интернет-пользователей следует защищать от подтвержденных злоупотреблений в DNS.
Во-вторых, законных владельцев доменов не следует считать виновными по умолчанию.
В-третьих, реселлеры должны иметь справедливую возможность помогать своим конечным клиентам в расследовании, очистке и ответе.

Позиция NiceNIC ясна: мы не защищаем злоупотребления, но также не считаем каждую жалобу автоматическим доказательством против клиента.


Что жалоба или сигнал о злоупотреблении означает и не означает
Жалоба на злоупотребление может исходить от исследователя безопасности, владельца бренда, пострадавшего пользователя, регистратора, хостинг-провайдера, правоохранительных органов, стороннего источника данных или другой стороны, подающей жалобу.

Это может касаться фишинга, вредоносного ПО, спама, подозрительных перенаправлений, взломанных страниц, фальшивых страниц входа, подделки бренда или другой вредоносной деятельности. Однако жалоба не является окончательным решением.

Жалоба или сигнал могут означать:
кто-то сообщил о подозрительной активности, связанной с доменом;
необходима проверка URL, поддомена, перенаправления или размещенного файла;
сторонняя платформа безопасности отметила домен;
проблема может касаться хостинга, DNS, электронной почты, содержания сайта или сторонней инфраструктуры;
владельцу домена или реселлеру возможно потребуется предоставить доказательства или подтверждение исправления.

Жалоба не означает автоматически:
что владелец домена намеренно совершил злоупотребление;
что домен должен быть немедленно приостановлен;
что жалобщик автоматически прав;
что сторонний список является окончательным доказательством;
что весь аккаунт клиента считается злоупотребляющим;
что весь портфель реселлера под риском из-за одного случая;
что домен нельзя восстановить или пересмотреть после очистки.

Это различие особенно важно для скомпрометированных доменов. Законный бизнес-сайт может быть взломан. Плагин CMS может быть эксплуатирован. Могут быть внедрены перенаправления. Поддомен может быть использован в злоумышленных целях. Учётная запись хостинга может быть скомпрометирована. Эти случаи должны рассматриваться иначе, чем домены, зарегистрированные намеренно для злоупотребления.


Как NiceNIC справедливо рассматривает проблему
NiceNIC рассматривает жалобы на злоупотребления, опираясь на доказательства, контекст, серьезность и текущий статус проблемы. ICANN определяет злоупотребления DNS по категориям, включая вредоносное ПО, ботнеты, фарминг, фишинг и спам, когда спам используется как механизм доставки этих форм злоупотребления DNS.

Это означает, что не каждая жалоба автоматически является злоупотреблением DNS. Некоторые проблемы могут быть связаны с авторским правом, товарными знаками, платежами, содержанием, бизнес-конфликтами или вопросами хостинга. Такие случаи требуют другого подхода.

При рассмотрении NiceNIC может учитывать:

• наличие в отчете доказательств, подлежащих действию;
• активен ли конкретный URL или заявленный ресурс;
• каким элементом затронута проблема: доменом, поддоменом, DNS, электронной почтой, хостингом или содержанием сайта;
• зарегистрирован ли домен злоумышленником или это легитимная регистрация, но домен скомпрометирован;
• уже ли владелец домена или реселлер устранил проблему;
• актуальны ли сторонние списки безопасности или устарели;
• необходимы ли немедленные меры для прекращения продолжающегося вреда;
• возможны ли менее разрушительные меры.

Руководство ICANN по соблюдению правил по злоупотреблениям DNS также ссылается на доказательства, подлежащие действию, соответствующее смягчение и реакцию, основанную на контексте. Оно признает, что правильное действие зависит от конкретных обстоятельств дела, а не от одного автоматического правила.


Что владельцам доменов или реселлерам следует делать немедленно
Если вы получили уведомление о злоупотреблении вашего домена, первым шагом не должно быть паническое реагирование. Первый шаг — собрать факты.

Начните с проверки статуса домена в вашем аккаунте NiceNIC. Используйте Как проверить статус злоупотребления вашим доменом в NiceNIC и, если доступно, Как просмотреть сводку жалоб на злоупотребление для вашего домена, чтобы понять, что было сообщено.

Затем изучите конкретную проблему. Проверяйте не только главную страницу. Многие случаи злоупотребления связаны с конкретным URL, скрытым путем к файлу, поддоменом, перенаправлением, скриптом или компрометированным поведением электронной почты.

Вам следует проверить:

• сообщенный URL;
• все недавно измененные файлы;
• подозрительные перенаправления;
• DNS-записи;
• настройки MX и электронной почты;
• пользователей и плагины CMS;
• логи доступа хостинга;
• неизвестные скрипты или внедрённые страницы;
• сторонние сервисы, связанные с доменом.

Если вы реселлер, быстро свяжитесь с конечным клиентом и попросите техническое подтверждение. Лучший ответ — не общее заявление вроде «наш клиент говорит, что всё в порядке». Лучший ответ — конкретные доказательства того, что было проверено, что удалено и что теперь чисто.

Если домен критически важен для бизнеса, избегайте случайных изменений до сбора доказательств. Записывайте скриншоты, временные метки, результаты сканирования и заметки хостинг-провайдера. Эти материалы помогут команде проверки понять дело точнее.


Какие доказательства или материалы по устранению полезны
Когда вы отвечаете на рассмотрение жалобы на злоупотребление, доказательства важнее эмоций.

Полезными могут быть:

• скриншоты, показывающие, что заявленная страница удалена или исправлена;
• логи сервера, показывающие, что указанный URL больше не активен;
• результаты сканирования на вредоносное ПО;
• подтверждение очистки от хостинг-провайдера;
• результаты безопасности CMS;
• исправления DNS-записей;
• доказательства удаления подозрительных перенаправлений;
• доказательства прекращения отправки компрометированных писем;
• подтверждение сброса паролей;
• запросы на удаление из списков или подтверждения удаления из сторонних платформ;
• краткая хронология событий и когда проблема была исправлена;
• подтверждение реселлера от конечного клиента с техническими деталями.

Если вы считаете жалобу ложной или устаревшей, объясните почему. Например:

• заявленный URL никогда не существовал;
• заявленная страница уже была удалена;
• скриншот сделан из старой кэшированной версии;
• домен был перепутан с другим доменом;
• сторонний список уже исправлен;
• активность вызвана компрометацией хостинга и уже устранена.

NiceNIC может также учитывать сторонние источники безопасности при рассмотрении, но такие источники следует рассматривать как сигналы для расследования, а не как автоматическое окончательное решение в каждом случае. Если ваш домен отмечен, статья Почему ваш домен отмечен VirusTotal, Spamhaus, Norton и URLScan.io и что делать поможет подготовить более точный ответ.


Что может сделать NiceNIC в зависимости от ситуации
Реакция NiceNIC зависит от доказательств, серьезности, срочности и того, активна ли проблема по-прежнему.

Возможные действия могут включать:

• запрос у жалобщика более полноценных доказательств;
• запрос у владельца домена или реселлера разъяснений;
• требование доказательств очистки или исправления;
• мониторинг проблемы после устранения;
• не предпринимать действий на уровне домена, если жалоба не подлежит выполнению;
• применять временные ограничения при подтверждении текущего злоупотребления;
• устанавливать статус clientHold для домена, если необходимо прекратить подтвержденное злоупотребление DNS;
• координация с регистратором, если статус контролируется регистратурой;
• ведение внутренних записей для соблюдения и аудита.

Статья Почему домены приостанавливаются и как избежать clientHold поможет клиентам понять, когда может произойти ограничение на уровне домена и как снизить этот риск.

В более серьезных случаях, если вовлечено действие на уровне регистратора, ситуация может быть вне полного контроля NiceNIC. Например, serverHold обычно контролируется регистратурой, а не регистратором. В таких случаях NiceNIC может помочь объяснить статус и доступные шаги, но регистратура определяет, когда и можно ли менять статус.


Чего NiceNIC стремится избегать, когда это возможно
NiceNIC понимает, что приостановка домена может нанести серьезный ущерб бизнесу.

Приостановка на уровне домена может повлиять на:

• веб-сайты;
• деловую электронную почту;
• системы входа клиентов;
• платежные процессы;
• API-эндпойнты;
• рекламные кампании;
• отношения реселлера с клиентами;
• видимость в поиске;
• доверие к бренду.

По этой причине NiceNIC стремится избегать ненужных прерываний, если обстоятельства это позволяют. Прямая приостановка не всегда является первым или единственным уместным решением, особенно если домен является законным, но был скомпрометирован. В рекомендациях ICANN на 2024 год также признается, что прямая приостановка скомпрометированного домена может привести к побочным ущербам, поскольку законные услуги могут быть прерваны, в то время как злоупотребление ограничено конкретным URL или скомпрометированным компонентом.

Однако это не означает, что каждый случай может оставаться активным во время рассмотрения. При наличии сильных доказательств активного фишинга, вредоносного ПО, ботнета, фарминга или другого серьезного злоупотребления DNS может потребоваться срочное вмешательство для предотвращения ущерба.