DNS异常行为分析

01 · 检测部署位置矩阵

同样的检测逻辑部署在不同位置，可见性与处置能力完全不同。本课题给出五类部署点的能力矩阵：

02 · 检测规则范式（示意）

以下为检测逻辑的结构化示意（中性YAML风格伪代码，非可直接部署的特定平台规则），用于说明规则要素与置信度绑定方式；落地时须按实际平台（Sigma/Suricata/自研引擎）语法改写并灰度验证：

title: 疑似DGA感染主机（行为锚点）
scope: 递归解析日志，按（内网源IP, 5分钟窗口）聚合
condition:
  - unique_query_names >= 阈值A        # 唯一查询域名数，阈值按基线自适应
  - nxdomain_ratio >= 0.7               # NXDOMAIN占比
  - avg_domain_entropy >= 阈值B        # 平均字符熵（过滤拼写错误噪声）
  - rcode分布中NOERROR占比 <= 0.3
confidence: C2                           # 仅观测，待特征层复核
action: log + escalate(特征层模型复核)

title: 疑似DNS隧道主域（聚合漏斗二级）
scope: 按（主域, 1小时窗口）聚合全部解析日志
condition:
  - unique_subdomains >= 阈值C          # 唯一子域数量爆炸
  - txt_answer_ratio >= 基线均值 + 5σ   # TXT应答占比偏离基线
  - avg_fqdn_length >= 基线均值 + 3σ    # 平均FQDN长度偏离
  - client_asn_diversity <= 阈值D       # 排除公共知名服务域
confidence: C2→C3（时序规律性确认后）
action: RPZ阻断（C3）/ 深包采样复核（C2）

阈值A—D为占位符：严禁跨环境复用固定阈值，标定流程见§03。规则中所有统计量均来自第2—4页特征词汇表，保证规则可解释、可回溯。

03 · 评估方法论：拒绝"覆盖度剧场"

3.1 三层度量模型

参照威胁情报分析专题（姊妹课题）的检测覆盖度方法，本课题将"检测了某类异常"拆分为三层，防止"写了规则=能检测"的自我欺骗：

3.2 时间外推与基线自适应

• 时间外推评估：训练数据与测试数据按时间切片（如按月滚动），模拟真实"检测明天"场景；随机切分评估结果仅作参考。
• 基线漂移监控：正常特征分布（唯一域名数、TXT占比、熵均值）按周滚动统计，分布突变（如企业上线新业务）自动触发阈值重标定，而非静默积累误报。
• 分层验收指标：DGA字符模型以单域名FPR为核心验收指标（递归侧须≤10⁻³量级）；行为锚点以"每千主机每日告警数"为运营验收指标；隧道漏斗以"确认隧道/分析工时"为效率指标。

04 · 红队验证与原子测试

检测规则未经对抗验证不得进入生产。本课题采用两层验证：

4.1 原子化测试

MITRE Engenuity社区维护的Atomic Red Team项目为T1071.004提供了默认原子测试用例（公开仓库可查），用nslookup等标准工具向测试域发起已知形态的DNS查询，用于验证"检测链路是否通电"——成本低、可随时回归。本课题建议将DGA/T1071.004相关原子测试纳入检测CI流水线，规则变更必须原子测试全绿方可合并（受控环境执行）。

4.2 授权红队对抗

在年度演练中，由红队在授权范围内复现第3页实验矩阵中的"低慢隧道"与第4页"短TTL轮换"组合手法，检验漏斗完整链路与SOC处置剧本（发现→确认→RPZ→EDR隔离→通报）。红队报告与蓝队检测日志对照分析，产出L3层覆盖度缺口清单，进入下季度规则迭代 backlog。

05 · ATT&CK检测策略对齐

检测覆盖度评估需对齐 MITRE ATT&CK 的检测数据需求。注意：ATT&CK 自 v18（2025年10月）起已用"检测策略（Detection Strategies）+ 分析规则（Analytics）"体系取代旧版 Data Sources / Data Components 体系（v19 于 2026年4月发布），引用时须注明版本。按新体系，与本课题相关的检测目标与所需遥测映射如下：

ATT&CK 技术条目命名以引用时版本为准（v18/v19 起检测数据需求改由 Detection Strategies 表达）；引用时固定版本号与日期。

06 · 性能工程要点

• 递归路径判定预算：特征模型推理须≤5ms且常驻内存；无法满足的模型（如深度模型）只能部署于异步分析层，同步路径仅用轻量特征。
• 熵等特征的常数优化：字符熵可用查表法预计算单字符贡献，流式更新滑动窗口，避免每次全串重算。
• 聚合状态内存控制："按主域计数"类状态用（count-min sketch + 精确复核双层）控制内存；热主域哈希冲突可接受，告警复核阶段精确重算。
• 加密DNS背景下的采样：DoH出口日志量巨大，对明确信誉域（知名DoH解析商）可先采样降级，把算力留给未知与可疑目标。

07 · 检测工程常见失败模式与对策

本节参考来源（第6页）