Instrument Effects in the Measured Lifetime of Malicious Domains: A Two-Instrument Decomposition by Cause

डिजिटल दुनिया में, बुरे तत्व मालवेयर फैलाने या जानकारी चुराने के लिए लगातार हजारों वेब पते पंजीकृत करते हैं। सुरक्षा टीमें थ्रेट इंटेलिजेंस फीड्स पर निर्भर रहती हैं—जो अनिवार्य रूप से इन खतरनाक पतों की लगातार अपडेट होने वाली सूचियाँ हैं—ताकि वे अपने नेटवर्क की रक्षा कर सकें। एक महत्वपूर्ण निर्णय यह है कि टीमों को किसी पते को अपनी वॉचलिस्ट में कितने समय तक रखना चाहिए। यदि वे किसी खतरनाक पते को बहुत जल्दी हटा देते हैं, तो वे हमलावरों के लिए एक दरवाजा खुला छोड़ देते हैं। यदि वे किसी पते को बहुत लंबे समय तक सूची में रखते हैं जो अब खतरा नहीं है, तो वे मूल्यवान संसाधनों को बर्बाद करते हैं और अनावश्यक शोर पैदा करते हैं। इस निर्णय को लेने के लिए, टीमों को यह जानने की आवश्यकता है कि एक दुर्भावनापूर्ण वेबसाइट आमतौर पर बंद होने या छोड़े जाने से पहले कितने समय तक जीवित रहती है। हालाँकि, इस "जीवनकाल" को मापना आश्चर्यजनक रूप से कठिन है क्योंकि इन वेबसाइटों को ट्रैक करने वाले उपकरण अक्सर उन वास्तविक पंजीकरण रिकॉर्ड्स से भिन्न वास्तविकता देखते हैं जो डोमेन नामों के वास्तविक उपयोग को दर्शाते हैं।

शोधकर्ता डुज़गुन कुचुक और फातिह एर्टम का एक नया अध्ययन ठीक इसी बात की जांच करता है कि कैसे ये ट्रैकिंग उपकरण दुर्भावनापूर्ण वेबसाइटों के जीवनकाल के बारेंर हमारी समझ को विकृत करते हैं। शोधकर्ताओं ने 2018 और 2026 के बीच एक थ्रेट फीड में दिखाई देने वाले 1,22,000 से अधिक दुर्भावनापूर्ण डोमेन नामों का एक विशाल संग्रह एकत्र किया। केवल फीड की सूची पर भरोसा करने के बजाय, उन्होंने इन सभी डोमेन को स्वतंत्र रिकॉर्ड्स के साथ क्रॉस-रेफरेंस किया, जैसे कि आधिकारिक पंजीकरण डेटाबेस और पैसिव DNS डेटा, जो ट्रैक करते हैं कि इंटरनेट पर डोमेन नामों का वास्तव में कैसे उपयोग किया जाता है। डोमेन के जीवन और मृत्यु के बारे में थ्रेट फीड ने क्या कहा और स्वतंत्र रिकॉर्ड्स ने क्या दिखाया, इसकी तुलना करके, टीम दुर्भावनापूर्ण वेबसाइट के वास्तविक जीवन और सूची की कृत्रिम सीमाओं के बीच अंतर करने में सक्षम हुई।

अध्ययन से पता चलता है कि जिस तरह से एक थ्रेट फीड डोमेन की मृत्यु की रिपोर्ट करती है, वह अक्सर भ्रामक होती है। जब कोई डोमेन थ्रेट फीड से गायब हो जाता है, तो इसे आमतौर पर "मृत" माना जाता है। हालाँकि, शोधकर्ताओं ने पाया कि कई मामलों में, डोमेन अभी भी इंटरनेट पर सक्रिय और रिज़ॉल्व हो रहा था; इसे केवल इसलिए सूची से हटा दिया गया था क्योंकि फीड के ऑपरेटरों ने निर्णय लिया था कि यह अब प्राथमिकता नहीं है या उन्होंने इसकी निगरानी करना बंद कर दिया है। यह एक "सर्वेक्षण पूर्वाग्रह" (surveillance bias) पैदा करता है, जहाँ किसी विषय को देखने की क्रिया ही उसके जीवन के मापन को बदल देती है। शोधकर्ताओं ने दुर्भावनापूर्ण डोमेन के समाप्त होने के तीन विशिष्ट कारण पहचाने: या तो अधिकारियों द्वारा इसे जबरन हटाया जाता है, या इसके पंजीकरण को मालिक द्वारा रद्द कर दिया जाता है, या ऑपरेटर इसे बस छोड़ देता है। स्वतंत्र रिकॉर्ड केवल पहले दो कारणों को देख सकते थे। तीसरा कारण, 'परित्याग' (abandonment), रिकॉर्ड्स के लिए अदृश्य था क्योंकि डोमेन नाम अभी भी पंजीकृत था भले ही बुरा तत्व उससे दूर जा चुका था।

जब शोधकर्ताओं ने सूचना के दोनों स्रोतों की तुलना की, तो अंतर स्पष्ट था। स्वतंत्र रिकॉर्ड्स ने दिखाया कि लगभग 35 प्रतिशत डोमेन वास्तव में मर चुके थे। हालाँकि, थ्रेट फीड ने रिपोर्ट किया कि 55 प्रतिशत मृत थे। यह 20 प्रतिशत अंकों का अंतर कोई माप त्रुटि नहीं बल्कि उन दो उपकरणों के बीच एक मौलिक अंतर था जो देख सकते थे। शोधकर्ताओं ने गणना की कि इस विसंगति का लगभग तीन-चौथाई हिस्सा "परित्याग" के कारण था। क्योंकि थ्रेट फीड एक डोमेन को तब देखना बंद कर देती है जब ऑपरेटर उसे छोड़ देता है, फीड उस क्षण को मृत्यु के रूप में गिनती है, जबकि पंजीकरण रिकॉर्ड दिखाते हैं कि डोमेन तकनीकी रूप रूप से अभी भी जीवित और पंजीकृत है। इसका अर्थ है कि परित्याग के विशिष्ट कारण के लिए, फीड वास्तव में यह नहीं माप रही है कि दुर्भावनापूर्ण बुनियादी ढांचे का वास्तविक जीवनकाल क्या है, बल्कि यह माप रही है कि उसके देखने को रोकने की उसकी अपनी नीति क्या है।

अध्ययन ने यह भी देखा कि एक दुर्भावनापूर्ण डोमेन के पहली बार बनने के बाद थ्रेट फीड पर दिखने में कितना समय लगता है। शोधकर्ताओं ने पाया कि यह देरी अक्सर बहुत लंबी होती है, जिसमें कुछ डोमेन को सूची में जोड़े जाने में वर्षों लग जाते हैं। यह सुझाव देता है कि डोमेन के जीवन को मापने के लिए "घड़ी" को उसके मूल निर्माण के समय के बजाय फीड पर सूचीबद्ध होने के समय से शुरू किया जाना चाहिए, क्योंकि यह देरी स्वयं थ्रेट इंटेलिजेंस प्रक्रिया का हिस्सा है। इसके अलावा, टीम ने परीक्षण किया कि क्या पुराने संकेतकों (indicators) को वॉचलिस्ट से हटाने के वर्तमान नियम प्रभावी थे। उन्होंने पाया कि यदि कोई टीम लिस्टिंग में देरी को ध्यान में रखे बिना फीड की टाइमलाइन के आधार पर नियम का उपयोग करती है, तो वे उन संकेतकों को हटा सकते हैं जो अभी भी सक्रिय हैं। विशेष रूप रूप से, उन डोमेन के एक उपसमूह पर जहाँ समाप्ति की सटीक तिथि ज्ञात थी, एक मानक नियम ने लगभग 6 प्रतिशत डोमेन को हटा दिया होता जो अभी भी जीवित और खतरनाक थे।

अंततः, शोध निष्कर्ष निकालता है कि सुरक्षा टीमें केवल एक स्रोत से दूसरे स्रोत में प्रतिधारण नीतियों (retention policies) को कॉपी नहीं कर सकती हैं। एक नियम जो थ्रेट फीड के लिए काम करता है वह पंजीकरण रिकॉर्ड पर आधारित प्रणाली के लिए काम नहीं करेगा, क्योंकि फीड में एक विशिष्ट प्रकार की "मृत्यु" (परित्याग) शामिल है जिसे रिकॉर्ड नहीं देख सकते। अध्ययन दुर्भावनापूर्ण डोमेन के वास्तविक जीवनकाल को उसके उपयोग में प्रयुक्त उपकरणों की कृत्रिम सीमाओं से अलग करने का एक स्पष्ट तरीका प्रदान करता है। यह समझकर कि जो डोमेन की मृत्यु जैसा दिखता है उसका एक बड़ा हिस्सा वास्तव में केवल प्रेक्षक का देखना बंद करना है, सुरक्षा टीमें अपनी रणनीतियों को समायोजित कर सकती हैं ताकि वे खतरनाक पतों को सही समय तक अपनी सूचियों में रख सकें, जिससे यह सुनिश्चित हो सके कि वे किसी खतरे को बहुत जल्दी जाने न दें या उस पर प्रयास बर्बाद न करें जो पहले ही समाप्त हो चुका है।