DNS异常行为分析

01 · 被动DNS：概念、价值与局限

1.1 概念溯源

被动DNS（Passive DNS）指对递归解析器实际发生的"查询—应答"过程进行旁路采集，形成按时间序列组织的域名—资源记录数据库。该概念由Florian Weimer于2005年在FIRST会议首次报告、2010年在USENIX LEET正式发表论文系统阐述，此后由Farsight Security（SIE/DNSDB）、CIRCL（Passive DNS服务）、360 Netlab（国内公开服务）、CNNIC等国内外机构发展为成熟的威胁分析基础设施。

1.2 为什么它是本课题的数据底座

1.3 诚实的局限清单

• 采样偏差：被动DNS覆盖范围决定视野，未接入的递归器后面的行为不可见；低频攻击行为可能恰好落在采样间隙。
• 加密DNS侵蚀：DoH/DoT使"递归旁路"采集点看到的明文减少（第3页已述），被动DNS正从"递归侧"向"解析服务侧"迁移。
• 隐私合规边界：解析元数据仍属敏感数据（可揭示内网结构），采集范围、留存周期、访问权限必须有明确制度（第8页合规框架）。

02 · 特征工程管线参考架构

本课题给出五段式管线参考设计，各段均可映射到成熟开源组件：

2.1 数据质量管理

• 时钟一致性：多采集点必须NTP同步，否则时序特征（变更率、间隔规律性）计算失真。
• 去重策略：递归缓存导致的同一应答重复上报需按（查询名、记录值、TTL窗口）去重，否则计数类特征虚高。
• 基线版本化：特征计算依赖的"正常基线"必须随时间版本化，支持覆盖度回溯对比（第6页）。
• 血缘记录：每条情报记录其来源采集点、处理版本与特征版本，满足第8页审计要求。

03 · 威胁情报输出：STIX 2.1映射示例

检测结果向下游（TIP/SOAR/RPZ）输出时必须结构化。以下示意展示一条"检测到Fast-Flux钓鱼基础设施"情报的STIX 2.1对象组合（结构演示用，字段为规范示意）：

{
  "type": "bundle",
  "objects": [
    { "type": "indicator",
      "pattern": "[domain-name:value = 'example-flux-bad.com']",
      "pattern_type": "stix",
      "valid_from": "2026-09-01T00:00:00Z",
      "confidence": 75,
      "labels": ["malicious-activity"] },
    { "type": "domain-name",
      "value": "example-flux-bad.com",
      "resolves_to": ["ipv4-addr--<ref>"] },
    { "type": "ipv4-addr", "value": "198.51.100.23" },
    { "type": "relationship",
      "relationship_type": "indicates",
      "source_ref": "indicator--<ref>",
      "target_ref": "malware--<ref>" }
  ]
}

要点：①confidence字段强制分级（第6页），低置信情报走"观测"通道不直接阻断；②GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》是国内共享的对标格式（专题首页已述八大组件），跨机构共享时按该标准转换；③域名情报必须携带失效时间（Flux域名寿命短，过期情报是误阻断来源）。

04 · 置信度分级与情报生命周期

4.1 置信度分级规则（本课题建议）

4.2 生命周期管理

参照威胁情报生命周期（规划→收集→处理→分析→分发→消费→反馈），本课题对DNS异常情报补充三条专属规则：①TTL对齐——情报有效期不长于其特征衰减周期（Flux类≤7天，DGA当日候选当日有效）；②失效回扫——到期情报自动复核（域名是否已sinkhole/下架/转移），避免僵尸情报在RPZ中堆积；③命中反馈——消费侧（EDR/SIEM）命中数据回流，校准第2—3页模型阈值，形成第8页所述闭环。

05 · 数据工程自身的测量指标

06 · 国内外可用被动 DNS 与公开数据资源

以上均为公开可查资源，访问政策以其官方说明为准；商业采购须按《数据安全法》完成数据出境与供应链合规评估。

本节参考来源（第5页）