Второй день работы TLDCON 2026 открылся секцией «DNS Abuse: Новые подходы к борьбе со злоупотреблениями в DNS и предотвращению больших скоординированных атак». Модератором дискуссии выступил Михаил Анисимов (Координационный центр доменов .RU/.РФ).
Ключевой темой обсуждения стала разрабатываемая сейчас в ICANN-сообществе новая политика gNSO (Generic Names Supporting Organization – Организация поддержки общих доменов верхнего уровня), включающая требования по проверке ассоциированных и связанных доменов (Associated Domain Cneck) для аккредитованных регистраторов. Ассоциированными считаются домены, которые имеют какие-то общие признаки или регистрационные данные с именами, замеченными в зловредной активности. Такой проактивный подход позволяет выявлять целые сети злоумышленников на ранней стадии и предотвращать масштабные вредоносные кампании.
Крис Мондини (ICANN) подчеркнул, что в борьбе со злоупотреблениями в DNS задействовано множество игроков: хостинг-провайдеры, интернет-провайдеры, ICANN и доменные регистратуры.
«Мы считаем, что все участники рынка, включая ICANN, должны делать все возможное, чтобы сократить масштабы злоупотреблений в доменной сфере», – призвал спикер.
О том, как реализовать проактивный подход, рассказали Руслан Тургулдинов (ЦАРКА) и Карлос Альварес (ZeroFox). Руслан в своем выступлении заметил, что подтвержденный киберинцидент должен автоматически запускать проверку всей связанной инфраструктуры, а не только одного домена.
«Один выявленный вредоносный домен часто является лишь верхушкой айсберга. В совместной работе с регистраторами ЦАРКА обнаруживает десятки и сотни связанных ресурсов в отдельных аккаунтах злоумышленников. Этот подход лег в основу обсуждаемого в ICANN проекта Associated Domain Checks, направленного на стандартизацию проактивной проверки связанных доменов при выявлении abuse. Эффективная борьба с DNS Abuse требует перехода от точечного реагирования к системному анализу связей, объединяющему технические артефакты, контентные признаки и данные реестров», – заключил спикер.
Карлос Альварес сообщил, что ZeroFox ежедневно анализирует более 6 млрд доменов и совершает свыше 1,3 млн действий по удалению вредоносного контента ежемесячно. Успешность запросов на удаление составляет более 95%.
«Но удаление одного фишингового домена лишь временно останавливает атаку – злоумышленники мгновенно переключаются на резервный ресурс из той же группы. Блокировка всей «семьи» доменов прерывает кампанию полностью», – констатировал спикер.
По словам спикера, грамотно выстроенная совместная работа с использованием открытых источников данных и четких критериев связности позволяет перейти от реактивной точечной защиты к проактивному кластерному анализу, тем самым предотвращая большинство кибератак.
Особый интерес вызвал доклад Эдмона Чанга (DotAsia), который представил опыт создания сетей доверенных уведомителей (Trusted Notifiers) и региональные практики борьбы с киберугрозами. Спикер подчеркнул, что эффективное противодействие DNS Abuse требует выхода за рамки стандартных процедур ICANN и учета специфики локальных экосистем.
«Создание прямых каналов связи между регистратурами и CERT позволяет реагировать на инциденты быстрее и точнее, чем через общие глобальные механизмы. Мы видим, как двусторонние соглашения и обмен данными помогают не только блокировать фишинг и ботнеты, но и защищать уязвимые группы пользователей, включая детей, адаптируя политики безопасности под реальные потребности региона», – отметил он.
Представитель одного из крупнейших регистраторов доменных имен в Узбекистане PS Cloud Никита Красулин согласился с тем, что проактивный подход позволяет сделать доменную зону безопаснее, но при этом регистратору необходимо руководствоваться четко определенными критериями при проверке подозрительных доменов.
«Это хорошая инициатива, исходящая от организаций, занимающихся кибербезопасностью, но необходимо четко прописать, какие именно проверки должен проводить регистратор», – заметил он.
Выступления подтвердили необходимость поиска баланса между глобальными стандартами и региональной спецификой. Обмен опытом между участниками из разных стран позволяет вырабатывать более эффективные стратегии защиты интернет-инфраструктуры, адаптируя лучшие практики как для международных, так и для национальных доменных зон.
Модератором секции «Две стороны DNS: аналитика угроз и моделирование защиты» выступила Ольга Баскакова (Координационный центр доменов .КU/.РФ. Дискуссия была посвящена разграничению двух категорий инцидентов в доменном пространстве — злонамеренной регистрации (Maliciously Registered Domains) и компрометации легитимных ресурсов (Compromised Domains). Спикеры подчеркнули, что, несмотря на внешнюю схожесть последствий для пользователей (фишинг, распространение вредоносного ПО), природа этих угроз требует внимательного отношения и часто отличающихся стратегий реагирования как со стороны экспертов, так и со стороны регистраторов.
Ключевой темой обсуждения стала проблема чрезмерных мер воздействия при взломе сайтов. Эксперты отметили, что полная блокировка домена в случае компрометации может нанести бизнесу ущерб, превышающий риски от самой атаки, поскольку одновременно отключаются корпоративная почта, платежные системы и интеграции. Было выделено, что первичным субъектом реагирования при взломе должен выступать хостинг-провайдер или владелец ресурса, так как угроза исходит не от самого доменного имени, а от контента или инфраструктуры сайта. Регистраторы же, обладая информацией только на этапе регистрации, не имеют достаточных полномочий для точечного устранения последствий взлома без риска навредить добросовестному владельцу.
Особое внимание участники уделили влиянию новых регуляторных требований на ландшафт угроз. Ужесточение правил идентификации, включая обязательную верификацию через ЕСИА, смещает вектор активности злоумышленников: вместо массовой анонимной регистрации всё чаще используются взломанные ресурсы с историей и репутацией. Типовыми точками входа остаются устаревшие CMS, слабые пароли и забытые тестовые стенды. В ходе сессии были рассмотрены практические кейсы выявления аномалий, включая массовую регистрацию тайпо-доменов через API реселлеров, TLS-аномалии C2-трафика и подозрительные всплески запросов к редким поддоменам.
В секции приняли участие Станислав Гончаров (F6), Андрей Петров (OneSEC), Сергей Журило (Рунити) и Дмитрий Коваленко (MSK-IX). Участники секции пришли к выводу, что эффективная защита национального доменного пространства невозможна без дифференцированного подхода к инцидентам. Разделение процессов реагирования на злонамеренную регистрацию и компрометацию позволяет сохранить баланс между безопасностью инфраструктуры и непрерывностью бизнеса, избегая ситуации, когда «дом сжигается целиком ради уничтожения паука в подвале». Крайне важным остается взаимодействие между регистраторами доменных имен в международных и страновых доменах и экспертами, выявляющими угрозы, связанные с использованием доменных имен. Доверие сторон в этой области – ключевой фактор успеха для повышения безопасности пользователей.
Конференция TLDCON 2026 продолжает свою работу.
Следите за нашими публикациями!
