01 · 案例一：Conficker DGA与全球协作Sinkhole（2008—2010）
1.1 事件背景（公开事实）
Conficker（2008年末爆发）是最早在全球范围展示DGA对抗价值的恶意家族。其.C变种的公开分析表明：感染主机每日生成约5万个候选域名，随机抽取其中500个发起DNS查询，运营方只需当日注册极少数域名即可维持C2——静态黑名单彻底失效。生成种子采用当前日期，使全网主机在任一日期计算同一候选序列。
1.2 检测视角的三条启示
- 行为锚点先于内容检测：Conficker时代内容特征与名单尚未建立，最先奏效的告警恰是"单主机短时大量NXDOMAIN"——第2页行为层的工程价值由此而来，且该特征对当日未知家族同样有效。
- 协作预注册是对抗DGA的正解之一：DGA算法被公开逆向之日，即防守方获得"预注册未来域名"能力之时；这论证了算法逆向与共享（Plohmann 2016的43家族公开）的防御价值。
- 种子时区陷阱：公开分析曾讨论Conficker按UTC日期播种导致的跨时区"提前/滞后一天"现象——日期种子类DGA的检测时间窗设计必须考虑时区偏移，否则按本地日期计算候选集会错位（该细节见社区逆向讨论，属公开分析共识）。
02 · 案例二：内网DNS隧道的发现与处置（教学化案例）
案例性质声明：本案例为教学化合成案例——基于多起公开披露的企业DNS隧道事件中的共性特征与标准处置流程整理而成，人物、单位与具体数字均经抽象化处理，不对应任何单一真实事件；检测特征与处置步骤全部来自第2—6页方法论的工程应用，可作为演练沙盘剧本与教学案例使用。
2.1 发现：一条被基线"余光"扫到的告警
某企业递归日志的聚合漏斗（第3页三级漏斗）在周二凌晨产生C2级告警：某研发网段主机对主域update-check-svc.example（示例名）的小时唯一子域数达4,600+，为基线均值+8σ；TXT应答占比异常。安全值班员第一反应是"EDR更新通道"（第3页误报源表第一条），但信誉复核显示该主域注册仅11天、无已知软件厂商归属——升级为人工分析。
2.2 分析：五分钟定性的证据链
| 分析动作 | 观测结果（案例设定） | 判定依据（方法论出处） |
|---|---|---|
| 载荷统计 | 平均FQDN长度58字符，子域呈32字符定长分片 | 第3页载荷类特征：定长分片=编码分包典型形态 |
| 字符集分析 | 子域字符集中于Base32字母表，无词典命中 | 语义类特征排除"伪可读伪装"场景 |
| 时序分析 | 查询间隔呈双峰：忙时3秒、闲时47秒，自相关显著 | 时序类特征确认非人类浏览行为 |
| 伴随行为 | 该会话期间主机无其他域名浏览（伴随率≈0） | 第3页"无浏览伴随"锚点——最关键一票 |
| EDR联动 | 查询进程为非常驻脚本解释器，父进程为计划任务 | 第6页归因点数据，确认需隔离 |
2.3 处置与复盘
处置链：RPZ阻断主域→EDR隔离主机→内存取证确认脚本为下载的隧道客户端→复盘入口为运维误信"内部工具更新"提示。三条沉淀：①凌晨时段低误报窗口是漏斗告警的黄金期，值班手册应明确升级路径；②"伴随行为"特征把人工分析从数小时压到五分钟，是本案例最大方法论收益；③该案例完整映射T1071.004，已转化为学院攻防演练沙盘的标准剧本（drill体系）。
03 · 案例三：Fast-Flux钓鱼基础设施拆解（教学化案例）
案例性质声明：本案例为教学化合成案例，基于公开钓鱼报告中Fast-Flux托管的典型模式整理，单位与数字经抽象化处理；其中"品牌仿冒+NRD+短TTL"的组合特征在公开钓鱼治理实践中广泛存在（可对照威胁猎人等公开报告的披露模式）。
3.1 画像：一个"四高一低"的域名
监测平台对主域secure-wal1et-verify.example（示例名，含仿冒品牌词素与字符替换）的被动DNS画像显示典型Fast-Flux模式：高IP基数（72小时窗口内解析IP 2,300+个）、高AS多样性（横跨60+个消费级宽带与廉价云ASN）、高变更率（相邻应答集合Jaccard距离均值0.93）、高品牌冲突度（与知名品牌编辑距离≤2）、低域名年龄（注册9天）。按第4页评分流程直接定级C3。
3.2 扩线：一次聚类带出的整片基础设施
IP池共享聚类（第4页"IP侧反查密度"特征）显示该域名与另外37个NRD共享≥60%代理节点，且NS记录复用同一组僵尸权威——一次性产出38域名处置清单。处置路径：递归侧RPZ全网阻断→经正规渠道（CNNIC投诉举报平台、注册商滥用邮箱）提交下架→对sinkhole可行性评估后因域名分散注册商而放弃协作沉洞，改为观测留存证据。
3.3 与钓鱼业务的闭环价值
该案例演示了异常行为分析对反钓鱼主业的三段贡献：压缩窗口期（注册9天即被画像拦截，远快于用户举报路径）、批量处置（聚类把单点举报升级为整片清除）、情报反哺（38域名及代理池画像入库，下次同池新域名出现时置信度直接起评C2）。
04 · 三案例的ATT&CK映射总表
| 案例 | 核心技术 | 关联技术（按过程还原） | 本课题检测锚点 |
|---|---|---|---|
| 案例一 Conficker | T1568.002 | T1071.001 Web协议（回连阶段）、T1059命令执行（本地投递） | NXDOMAIN行为锚点 + 字符特征 |
| 案例二 隧道 | T1071.004 | T1059.006 Python等脚本执行、T1547计划任务（持久化入口） | 三级漏斗 + 伴随行为锚点 |
| 案例三 Fast-Flux | T1568.001 | T1583.001（域名获取）、T1657（金融钓鱼影响）——钓鱼场景按实际手法补充 | 被动DNS五特征 + 聚类扩线 |
映射为本课题基于案例过程的归纳；T编号以ATT&CK当前版本页面为准，钓鱼影响阶段编号随实际话术（窃取凭证/直接转账）选择T1657或对应条目。
05 · 案例库沉淀的三条元经验
- 行为锚点 > 单点特征：三个案例的定性时刻分别来自"大量NXDOMAIN""无伴随行为""高变更率"——全部是行为层证据；内容特征负责提速，行为特征负责兜底，再次印证第2页级联架构。
- 置信度分级决定处置速度：C3情报从发现到阻断在分钟级完成；C1告警不产生动作但积累聚类上下文。跳过置信度直接"一刀切阻断"是误报事故与业务事故的共同源头。
- 合成案例的教学价值：真实案例细节受披露限制，合成案例保留全部决策点与证据链，更适合课程与演练；本课题坚持"合成必标注"的学术诚信原则。
06 · 案例的教学转化规范（drill 体系对接）
三个案例向课程与攻防演练沙盘转化时，须遵守以下规范，保证教学价值与诚信底线：
- 真实案例讲"史实与决策"：Conficker 案例用于讲授协作处置机制与时间线复盘，禁止在教学中复现其传播手法；引用数字一律采用公开口径并注明出处。
- 合成案例讲"流程与证据链"：两个合成案例的证据链（告警→复核→定性→处置）按第2—6页方法论逐步对应，学员作业必须写出每一步对应的特征出处。
- 演练环境隔离：沙盘复现隧道/Flux 手法仅限隔离靶场，使用专用测试域名；禁止以任何真实第三方域名作为演练目标。
- 评分锚定 ATT&CK：演练评分表直接引用第04节映射总表，检出时间、归因完整性、处置动作分级各占分值。
- 诚信声明常驻：所有教学材料在显著位置保留"合成案例声明"，与真实案例严格分版。
本节参考来源（第7页）
Conficker Working Group公开资料与大事记：confickerworkinggroup.org；D. Plohmann et al., USENIX Security 2016（43家族DGA测量，含Conficker）
M. Antonakakis et al., USENIX Security 2012（Conficker/Torpid等家族检测研究背景）：usenix.org会议论文页
MITRE ATT&CK T1071.004 / T1568.001 / T1568.002 / T1583.001 技术条目：attack.mitre.org
MITRE Engenuity Atomic Red Team T1071.004原子测试：github.com/redcanaryco/atomic-red-team
威胁猎人《2026年上半年企业品牌外部风险研究报告》（钓鱼仿冒趋势参照）：威胁猎人官方报告页
I. Homem, J. P. Papapetrou, A. Dosis, "Entropy-based Prediction of Network Protocols in the Forensic Analysis of DNS Tunnels"（2017）：arxiv.org/abs/1709.06363