신규 도메인이 중요한 이유
피싱, 가짜 상점 및 사칭 캠페인은 종종 사용 직전에 등록된 도메인을 이용합니다. 오래된 악용 도메인은 차단되고 신고되기 때문입니다. 따라서 보안팀은 특히 브랜드 유사 이름이나 긴급 결제 요청과 결합될 때, 최근 생성일을 위험 신호로 간주합니다.
연령 정확하게 측정
마지막 변경 날짜 대신 RDAP의 등록(생성) 이벤트를 사용하십시오. TLS 인증서가 해당 이름으로 처음 발급된 시점을 보여주는 인증서 투명성 로그 및 사용 가능한 경우 수동 DNS와 비교하십시오. 도메인은 오래되었지만 최근에 재등록되었을 수 있습니다. 등록 기관, 네임 서버 및 콘텐츠의 갑작스러운 변경은 새로운 운영자를 시사합니다.
- 마지막 업데이트가 아닌 생성 이벤트를 사용하십시오.
- 만료 후 재등록 여부를 확인하십시오.
- 첫 번째 인증서 발급을 비교하십시오.
- 이름 유사성 및 콘텐츠 증거와 결합하십시오.
오탐(false positives) 방지
스타트업, 캠페인, 행사는 합법적으로 새 도메인을 등록합니다. ‘새로 생성되었으므로 의심스럽다’가 아니라 ‘이 날짜에 등록되었다’로 조사 결과를 보고하십시오. URL Forensics는 누락되거나 최근 데이터만으로 안전성 여부를 판단하지 않습니다.
출처 및 추가 자료
ICANN, DNS 남용RFC 6962, 인증서 투명성이 자료는 수사 분류(investigative triage)를 지원합니다. 이는 법률 자문, 귀속성 판단 또는 웹사이트가 안전하다는 인증이 아닙니다.