DNS异常行为分析

01 · DNS 作为安全遥测的定位

DNS 解析发生在几乎所有网络连接之前，且传统"加密化"滞后于应用层流量，因此是企业内网中稀缺的"几乎全量、低隐私摩擦"的元数据源。MITRE ATT&CK 将 DNS 相关行为纳入多条战术：T1071.004（应用层协议：DNS）、T1568.002（动态解析：DGA）、T1048（经由替代协议外泄）。以 DNS 为遥测可在不解密业务流量的前提下，发现 C2、外泄与恶意基础设施。

02 · DGA 域名生成算法检测

僵尸网络用算法按日期/种子批量生成随机域名（DGA），每日仅少数被攻击者真正注册，以规避域名黑名单。检测核心在于"域名本身的可疑度"。

• 字符统计学：随机域名的高斯/信息熵、辅音-元音比、N-gram 与合法词典命中率显著异于正常品牌域名；长随机串是强信号。
• 聚合行为：同一主机短时内大量"NXDOMAIN"失败、查询分布平坦（无长尾热点）是 DGA 流量典型特征。
• 模型：经典工作如 Antonakakis 等《From Throw-Away Traffic to Bots: Detecting the Rise of DGA-Based Malware》(USENIX Security 2012)，结合词法特征与图/聚类；后续学界广泛使用 LSTM、字符级 CNN 提升检出。

03 · DNS 隧道与数据外泄

攻击者可把数据编码进子域名（如 base32(secret).attacker.net）经 TXT/A 查询逐段外传，绕过仅检视 HTTP 的检测（工具：iodine、dnscat2、Cobalt Strike 的 DNS Beacon）。

• 长度与熵：隧道查询的子域名显著更长、熵更高，且 TXT 应答体积异常。
• 频率与比率：单域名超高查询量、请求/应答字节比失衡、罕见记录类型（NULL/TXT/大量A）集中出现。
• 关联：结合被动 DNS 看"域名历史稀缺但今日激增"、与已知 C2 域名的共现（同注册者/同 NS）。

04 · 其他异常：Fast Flux 与恶意域名

• Fast Flux：恶意基础设施快速轮转 A/AAAA 记录 IP（常跨多 ASN），以隐藏真实托管点、提升可用性；通过被动 DNS 观察 IP 轮换频率与地理分散度识别。
• 恶意/钓鱼域名：结合品牌近似（同形异义、typo）、新注册、免费证书集中签发、与威胁情报 IOC 匹配，形成实时拦截（呼应子课题01第4页 RPZ/情报联动）。
• 被动 DNS（pDNS）：将历史解析关系沉淀为情报库（Weimer 2005 提出），支撑上述全部关联分析；是异常分析的基础设施。

05 · 与子课题01/03 的衔接

• 与子课题01（劫持检测）：01 关注"应答是否被篡改/投毒"（完整性、可达性），05 关注"查询本身是否恶意"（遥测、行为）。二者同处检测侧、互补：01 防"被欺骗去错误地方"，05 防"主动连到错误地方"。
• 与子课题03（加密DNS）：加密带来隐私也削弱明文检测，故 05 的落地依赖"解析器侧可审计"（03 的企业自建加密解析）与 EDR/终端侧遥测协同。

参考来源