Preguntas frecuentes: Proyecto de Informe de Actividades de Uso Indebido de Dominios (DAAR) de la ICANN

¿Cómo pueden los dominios de alto nivel con código de país (ccTLD) unirse al proyecto DAAR?

Los dominios de alto nivel con código de país (ccTLD) que estén interesados en participar en el proyecto DAAR pueden obtener más información sobre el proceso a continuación.

1. El ccTLD interesado envía su solicitud por correo electrónico a globalsupport@icann.org.

2. El equipo de Apoyo Global luego iniciará un procedimiento para confirmar la solicitud mediante el envío de un par de correos electrónicos a los contactos técnico y administrativo del ccTLD. Las direcciones de correo electrónico se basan en la información de contacto suministrada cuando el ccTLD se registró en la Autoridad de Números Asignados en Internet (IANA).

   • Una vez que todas las partes confirmen la solicitud, la ICANN iniciará un procedimiento para recibir archivos de zona. Este proceso incluye medidas técnicas, tales como proporcionar claves públicas y configurar el proceso de transferencia de zona del DNS (AXFR).
3. El personal de la ICANN ayudará al ccTLD a obtener acceso a la API del Sistema de Monitoreo de la ICANN (MoSAPI).
4. Una vez configurado el proceso de transferencia de archivo de zona, se lo compartirá con iThreat Cyber Group, el contratista que mantiene el sistema DAAR. iThreat Cyber Group agregará la zona del ccTLD al resto de las entradas ya existentes en el sistema DAAR.

5. Una vez que el ccTLD está totalmente incorporado y tiene acceso a la API del Sistema de Monitoreo de la ICANN (MoSAPI), el ccTLD recibirá dos conjuntos de datos del sistema DAAR:

   • En forma diaria, un ccTLD recibirá recuentos de dominios de zona del sistema DAAR y calificaciones de amenazas a la seguridad por tipo de amenaza del sistema MoSAPI.
   • El ccTLD también recibirá informes mensuales personalizados, que son versiones ligeramente actualizadas de los informes mensuales públicos del sistema DAAR. La diferencia es que estos informes también tienen el ccTLD resaltado en sus gráficos y contienen estadísticas relacionadas directamente con el ccTLD. Estos informes no están destinados al público y solo se comparten con los ccTLD de manera individual.

Información adicional:

• Los ccTLD pueden firmar un Memorando de Entendimiento (MoU) con la ICANN. Si desean hacerlo, mencionen su intención en el primer correo electrónico que envíen al equipo de Apoyo Global.
• Los archivos de zona del ccTLD no se compartirán con ninguna otra entidad, salvo con el contratista del sistema DAAR, iThreat Cyber Group, y solo con los fines de dicho sistema. Ninguna otra entidad (gTLD o ccTLD) podrá ver las estadísticas sobre amenazas a la seguridad.
• Para mayor orientación, se puede contactar a la Dra. Samaneh Tajalizadehkhoob, líder del proyecto DAAR, mediante la siguiente dirección de correo electrónico: samaneh.tajali@icann.org.

¿Qué es el Proyecto de Informe de Actividades de Uso Indebido de Dominios (DAAR)?

El proyecto DAAR consiste en una plataforma para estudiar e informar comportamientos de amenazas a la seguridad (uso indebido) provenientes de las registraciones de nombres de dominio entre los registros y registradores de dominios de alto nivel (TLD). El sistema tiene dos componentes principales:

• Sistema de recopilación: recopila archivos de zona de todos los TLD para los cuales podemos obtener datos, compila los datos de uso indebido de dominios de fuentes de informes de amenazas a la seguridad independientes y asocia la actividad de amenazas a la seguridad con los TLD individuales.
• Sistema de administración de interfaz gráfica del usuario (GUI): brinda visualizaciones tabulares y gráficas de las actividades de uso indebido y registración de dominios, incluida la visualización de datos históricos. La GUI permite que los administradores del personal de la ICANN estudien actividades de amenazas a la seguridad y exporten los datos para la generación de informes.

Combinados, los dos sistemas brindan vistas de uno o más días en la vida de los servicios de registración de dominios, incluido el uso indebido de nombres de dominio registrados.

¿Por qué la organización de la ICANN desarrolló el sistema DAAR?

Las iniciativas para estudiar el uso indebido de nombres de dominio son relativamente comunes hoy en día, pero suelen tener limitaciones.

• En muy pocas iniciativas se estudia el uso indebido en todos los dominios genéricos de alto nivel a largo plazo.
• La mayoría del trabajo en esta área se centró solo en un tipo específico de amenaza a la seguridad y no evalúa múltiples amenazas a la seguridad.
• Sobre todo, las metodologías exactas y las fuentes de datos usadas para estos estudios no suelen ser divulgadas al público o a los registros, de manera que los resultados de los estudios no siempre pueden reproducirse.

Después de numerosas solicitudes informales de la comunidad, la Oficina del Director de Tecnologías (OCTO) de la ICANN concluyó que la comunidad de la ICANN se beneficiaría si contara con un conjunto de metodologías neutral, imparcial, persistente y reproducible de datos anonimizados que se pudieran analizar. El equipo de Seguridad, Estabilidad y Flexibilidad (SSR) de la OCTO comenzó un proyecto de investigación a fin de desarrollar un sistema para recopilar un gran cuerpo de datos de nombres de dominio, complementado por un gran conjunto de fuentes de datos de reputación altamente confiables.

¿Cuál es el objetivo del DAAR?

El objetivo general del DAAR es informar a la comunidad de la ICANN acerca de amenazas a la seguridad para que pueda utilizar los datos y tomar decisiones informadas. Dentro de este amplio marco, el DAAR tiene una multiplicidad de objetivos específicos:

• Hacer un seguimiento de la reputación de las amenazas a la seguridad de los TLD en función de conjuntos de datos de reputación de amenazas conocidos a lo largo del tiempo.
• Colaborar con iniciativas contra el uso indebido de nombres de dominio al hacer pública la metodología del DAAR.
• Permitir la determinación y la presentación de informes respecto de la presencia o prevalencia de amenazas a la seguridad en un registro.
• Ayudar a los registros o registradores a identificar causas de actividades de registración anormales.
• Respaldar las actividades de la comunidad de la ICANN relativas a la confianza de los consumidores.

¿Qué tipos de amenazas a la seguridad observa el DAAR?

El DAAR identifica y rastrea los nombres de dominio informados que se relacionan con cuatro clases de amenazas a la seguridad:

• Phishing. Nombres de dominio utilizados en páginas web que se hacen pasar por una entidad de confianza, como un banco, una marca conocida, un comerciante en línea o un organismo gubernamental.
• Malware. Nombres de dominio que facilitan el alojamiento o la propagación de software hostil o intrusivo que se instala en sistemas finales, posiblemente sin el permiso del usuario.
• Comando y control de botnet. Nombres de dominio que se usan para identificar hosts que controlan botnets, que son conjuntos de computadoras infectadas con malware que se pueden usar para llevar a cabo varias actividades indebidas, tales como lanzar ataques de denegación de servicio y enviar campañas de correo electrónico no deseado (spam) o de suplantación de identidad (phishing).
• Spam. Dominios que son publicitados en correos electrónicos masivos no deseados o usados para nombrar sistemas de intercambio de correo electrónico no deseado. El término spam ya no describe solo correos electrónicos masivos no deseados, sino que se ha convertido en un medio principal de entrega para identificadores (nombres de dominio, hipervínculos o direcciones) usados para respaldar las amenazas a la seguridad mencionadas previamente.

¿Cómo se compilan los datos sobre amenazas en el DAAR?

El DAAR no funciona de manera aislada. El sistema no genera datos sobre amenazas. Depende de datos de reputación abiertos o comerciales para identificar y clasificar los cuatro tipos de amenazas a la seguridad mencionados anteriormente. Los proveedores de fuentes de reputación de los datos que usa el DAAR cumplen varios criterios: exactitud, cobertura, adopción de la industria y la capacidad de la fuente de clasificar los eventos en las clases de amenazas a la seguridad que rastrea el DAAR.

Si un dominio figura en la lista para dos o más tipos de amenazas, ese dominio se contará en cada categoría de amenaza relevante. Sin embargo, solo se cuentan los dominios únicos para el total de dominios que registran amenazas a la seguridad en el TLD o cartera del registrador, como también a los fines de su calificación.

¿Qué datos de reputación usa el sistema DAAR?

Consideramos que es beneficioso recopilar los mismos datos de amenazas a la seguridad (uso indebido) que son informados a los usuarios de Internet y a la industria. Los sistemas de seguridad, tales como las puertas de enlace antispam o antimalware, o los firewalls que protegen a miles de millones de usuarios, incorporan estos datos a sus medidas para la mitigación de amenazas. Por ende, el sistema DAAR refleja cómo los usuarios y las comunidades operacionales de redes ven el ecosistema de nombres de dominio a través de la perspectiva de los datos sobre amenazas.

El DAAR incorpora una gran cantidad de fuentes de datos de reputación. La lista de fuentes y proveedores se encuentra disponible al final de esta sección y se la puede consultar para conocer las fuentes en uso a la fecha de redacción de este documento de preguntas frecuentes. En conjunto, estas fuentes indican múltiples orígenes de las amenazas a la seguridad que el DAAR puede medir o analizar. El DAAR está diseñado para ser extensible. De esta manera, se asegura la provisión de datos de calidad y la evaluación de las amenazas a la seguridad que la comunidad de la ICANN puede identificar en el futuro. Por lo tanto, las fuentes de datos de los proveedores de servicios de reputación de dominios pueden ser agregadas o eliminadas a lo largo del tiempo.

¿Cuán confiables son los datos del DAAR?

Por ahora, el DAAR usa dos categorías de datos: datos de zona y datos de reputación.

El DAAR recopila datos de zona de los TLD diariamente, mediante el Servicio de Datos de Zona Centralizado de la ICANN y/o la provisión directa por parte de operadores de TLD con los cuales ha celebrado acuerdos. Los datos de zona, cuya disponibilidad es exigida contractualmente para los dominios genéricos de alto nivel (gTLD) y ofrecida voluntariamente por los dominios de alto nivel con código de país (ccTLD), son generalmente proporcionados una vez al día. Como tal, el DAAR no observará los cambios en la zona después de la publicación diaria de los datos de zona hasta el día siguiente.

El DAAR recopila datos de reputación de proveedores que fueron seleccionados en función de la reputación por la exactitud de los datos (definida en este contexto como adoptada prácticamente por consenso en toda la comunidad operacional de seguridad). Los proveedores deben contar con procesos claramente definidos para agregar y eliminar nombres de dominio identificados de sus fuentes de datos. Otro criterio de selección es la prevalencia de uso de la fuente de datos por el sector académico en tesis y documentos de investigación, así como por la industria en productos y servicios. Por último, la fuente de datos debe poder incluirse en al menos una de las cuatro clasificaciones de amenazas a la seguridad rastreadas por el DAAR. Estamos elaborando una metodología de evaluación (selección/eliminación) de fuentes de datos más exhaustiva que publicaremos a la brevedad.

¿Cuán actualizados están los datos?

Los datos usados por el DAAR se actualizan todos los días. Los recuentos de dominios se recopilan de los archivos de zona de TLD ingresados a diario. Algunos operadores de registro solo otorgan acceso a archivos de zona durante períodos limitados antes de requerir renovación y esto crea brechas ocasionales. Los proveedores de servicios de reputación de dominios agregan dominios a sus listas en forma continua. El sistema recopila estos datos actualizados de cada proveedor varias veces al día. Cada proveedor también tiene un procedimiento para eliminar dominios de sus listas. Estas eliminaciones son rastreadas y registradas en el DAAR. Por lo general, cada proveedor incluye en su lista un nombre de dominio por el tiempo durante el cual el proveedor considera que el dominio constituye un problema. Transcurrido ese tiempo, el dominio se retira de la lista. Un nombre de dominio puede ser incluido en la lista solo durante algunos minutos o durante meses, según las políticas y los criterios del proveedor.

Algunas listas no hacen un seguimiento del estado del uso indebido y, por ende, no proporcionan etiquetas de "eliminación". Un ejemplo es la fuente de datos sobre phishing del Grupo de Trabajo Anti-Phishing (APWG). Esta es una lista de identificadores de phishing recientemente confirmados, pero el APWG luego no hace un seguimiento para ver cuáles sitios están funcionando y cuáles no. Para ser conservadores, cuando un dominio se incluye en la lista de la fuente de datos del APWG, solo contamos ese dominio como "incluido en la lista" o "activo" durante un día.

¿El DAAR identifica todas las instancias de las amenazas a la seguridad en el DNS?

No. El sistema DAAR recopila datos sobre amenazas a la seguridad de diversos proveedores de servicios de reputación. Sin embargo, estos proveedores no ven ni pretenden ver o incluir en sus listas toda la actividad de amenazas que ocurre en Internet. Por lo tanto, notamos que el DAAR suministra una medición base y que la cantidad de amenazas a la seguridad asociadas con los nombres de dominio es mayor que lo que este sistema cataloga. Los usuarios de los datos del DAAR deberían suponer que las estadísticas que presenta son un subconjunto del problema que representan las amenazas a la seguridad en un TLD en particular.

¿El DAAR incluye en la lista solo aquellos dominios registrados por actores maliciosos?

No. En general, la mayoría de los proveedores de servicios de reputación de dominios no pueden definitivamente atribuir motivos a los actores que registran nombres de dominio. De igual modo, no es probable que el DAAR conozca los motivos por los cuales se registran nombres de dominio. El DAAR depende de los proveedores de servicios de reputación de dominios que utilizan enfoques modernos para la detección de amenazas a la seguridad. Las fuentes de datos de algunos proveedores también pueden contener nombres de dominio para los cuales el servicio de alojamiento se ha visto comprometido, lo cual deriva en que el dominio se use con fines maliciosos. Estamos trabajando en el desarrollo de metodologías para poder distinguir entre los dos grupos de dominios.

¿Cómo procesa el DAAR los falsos positivos en los datos de reputación?

En función de una revisión independiente, los índices de falsos positivos son bajos en las listas que hemos seleccionado. El DAAR no modifica los datos recibidos de las fuentes de datos reputación; por ende, si las fuentes incluyen falsos positivos, dichos falsos positivos se reflejan en el resultado del DAAR. Sin embargo, dado que numerosas partes dependen de estas fuentes de datos de reputación – por ejemplo, proveedores de servicios de correo electrónico, proveedores de servicios de Internet y operadores de resolutores – cualquier falso positivo afectará al ecosistema de nombres de dominio, independientemente de la forma en que el DAAR lo informe. En tal sentido, las acciones dentro del sistema DAAR tendientes a reducir aun más los falsos positivos resultarían en información contradictoria o falsa desde la perspectiva del impacto de las amenazas a la seguridad informadas a dichas partes. El equipo de SSR de la ICANN supervisa continuamente la calidad de los datos. Por lo tanto, se pueden agregar o eliminar fuentes en función de la evaluación de calidad que realizan los miembros del equipo de SSR o en función de los aportes de la comunidad.

¿Quién tendrá acceso al sistema DAAR?

Solo el personal de la ICANN y los desarrolladores contratados pueden acceder al DAAR directamente a través de su interfaz administrativa. Los registros ahora pueden tener acceso a sus propios datos mediante el sistema SLAM de la ICANN. Para obtener más información al respecto, contactar a Gustavo Lozano (gustavo.lozano@icann.org).

El equipo de SSR de la OCTO trabajará con la comunidad de la ICANN para determinar la mejor forma de compartir las estadísticas y los análisis obtenidos de los datos que recopila el DAAR.

¿Cuál es la relación entre el DAAR y la Iniciativa de Datos Abiertos?

"Iniciativa de Datos Abiertos" es un término general que abarca las iniciativas destinadas a facilitar el acceso por parte de toda persona a los datos generados o seleccionados tanto por la organización como por la comunidad de la ICANN. El DAAR usa datos de fuentes públicas, abiertas y/o comerciales. Los datos de zonas del DNS y los datos de registración de WHOIS se encuentran disponibles al público. Ciertas fuentes de datos de reputación son de código abierto, mientras que otras son fuentes comerciales que requieren una licencia o suscripción. En el caso de algunas fuentes comerciales, las licencias permiten un uso derivado, pero no directo. En los casos donde no hay limitaciones en la redistribución de los datos relacionados con el DAAR, estos datos y análisis se publicarán en forma periódica y se incluirán en la Iniciativa de Datos Abiertos.

¿Qué rol tendrá el DAAR en las políticas de la ICANN?

El objetivo del DAAR es brindar datos comprobables y reproducibles para análisis que puedan servir en la toma de decisiones informadas y consensuadas en materia de políticas. El DAAR agrupa una combinación de los datos de reputación de nombres de dominio que la comunidad operacional de seguridad observa, informa y usa. Depende de la comunidad de la ICANN determinar si se usarán los informes generados a partir de los datos recopilados por el DAAR en las deliberaciones de políticas y, de ser así, cómo se usarán.

¿Cómo entra el DAAR en el ámbito de incumbencia de la ICANN?

Para que la ICANN ayude a garantizar la seguridad y estabilidad del nivel superior del sistema de identificadores únicos de Internet que coordina de acuerdo con su misión, tanto la organización como la comunidad de la ICANN deben conocer las amenazas a ese sistema. Para cumplir con los requisitos de apertura y transparencia de la ICANN, la organización debe, en la mayor medida posible, hacer que los datos que recopilamos estén disponibles a la comunidad. Por último, el rol de la organización de la ICANN en general, y de la Oficina del Director de Tecnologías en particular, es brindar datos y análisis neutrales e imparciales para facilitar el desarrollo y debate de políticas.

¿Cómo puedo brindar aportes sobre el DAAR?

Lista de proveedores de datos de reputación y fuentes de datos

A julio de 2017, el DAAR cuenta con las siguientes listas de bloqueo.

• Lista de Bloqueo de Dominios (DBL) Spamhaus. Dominios publicitados en spam, dominios usados para phishing y dominios usados para alojar malware.
• SURBL. Dominios publicitados en spam, dominios usados para phishing y dominios usados para alojar malware.
• Grupo de Trabajo Anti-Phishing. Fuente de listas de bloqueo de URL: dominios usados para phishing.
• Phishtank. Dominios usados para phishing.

• Malware Patrol. Dominios usados para alojar malware. Además, la fuente de Malware Patrol incorpora listados de estas listas de bloqueo de dominios maliciosos:

  • SpamAssassin
  • Carbon Black Malicious Domains
  • Squid Web Proxy
  • Smoothwall
  • Symantec Email Security for SMTP
  • Symantec Web Security
  • Firekeeper
  • DansGuardian
  • Direcciones URL que utilizan ransomware
  • IP de servidores de comando y control de botnet
• Ransomware Tracker. Malware y servidores de comando y control de botnet.
• Feodotracker. Dominios usados para alojar malware.