01 · 问题定义：DNS遥测的价值与失明后果
企业安全运营长期依赖DNS作为"最便宜、覆盖最全"的遥测源：
- 威胁检测：DGA域名、DNS隧道（子课题05）、新注册域名、已知C2与钓鱼域名的实时阻断；
- 合规审计：法定日志留存、员工上网行为审计、等保测评要求；
- 网络治理：内部域名解析、CDN调度优化、家长控制式内容策略。
终端加密DNS的普及使上述能力集体失效——不是检测规则失效，而是检测数据源消失。因此企业管控的目标是架构性的：让加密DNS发生的位置（解析通道对端）重新落入企业控制域，而不是在流量上封堵加密。
02 · 识别技术清单：网络侧如何发现加密DNS使用
| 技术 | 原理 | 精度/局限 |
|---|---|---|
| 已知解析器IP清单匹配 | 维护公共DoH/DoT递归IP段库，匹配目的IP | 易实现但精度有限：CDN共享IP导致误报，清单维护成本高 |
| JA3/JA4 TLS指纹 | ClientHello参数组合指纹，识别特定DoH客户端（含恶意软件家族） | 对已知客户端效果好；自研/变体指纹覆盖不全；ECH不直接影响该层 |
| HTTP特征分析 | 对443明文HTTP/2（终止TLS后）识别/dns-query路径与application/dns-message | 需TLS终止能力（代理/Agent场景）；端到端加密网络中不可用 |
| 行为统计分析 | 非浏览器进程发起的443长连接、周期性小载荷、低熵规律模式 | 启发式、误报需白名单调优；适合作为狩猎假设而非硬阻断 |
| DoT/DoQ端口识别 | TCP/UDP 853目的端口直接识别 | 最精确可靠——专用端口带来的可治理性红利 |
| DNS层交叉验证 | 终端仍有少量明文53流量（系统组件）时，比对加密连接目的与明文模式异常 | 辅助手段；加密彻底化后失效 |
方法论要点：识别技术的价值在于"发现未知使用"（狩猎输入）而非"精确阻断"——与Web同端口的DoH决定了纯网络侧封堵在工程上不可达。真正的管控必须在架构层完成（见§03）。
03 · 三类管控架构模式
| 模式 | 机制 | 适用 | 强度 |
|---|---|---|---|
| A. 允许+监测 | 不干预员工使用公共加密DNS，以识别技术（§02）做被动发现与风险画像 | 强隐私文化组织、过渡期 | 弱 |
| B. 网关代理转发 | 出口策略引导全部53/853流量至企业自建加密递归网关，网关对外以DoH/DoT/DoQ连接白名单上游 | 办公网、数据中心，网络边界可控 | 中强 |
| C. 客户端Agent托管 | 零信任/SWG客户端在终端接管DNS（含本地代理DoH回环），强制走受控通道并执行策略 | 远程办公、移动终端为主的企业 | 强 |
04 · 自建加密递归网关工程要点
- 软件选型：unbound（成熟，支持DoT/DoH服务端与加密上游）、dnsdist（流量调度、策略与DoT/DoH前端）、BIND 9（功能栈完整）；三者DoQ能力成熟度各不相同，应以当期版本文档为准。国内生态也有商业方案可选。开源组件遵循各自许可证。
- 对内服务形态：同时提供明文53（兼容遗留）、DoT（853）、DoH（443，建议独立IP避免与业务Web冲突）三种入口，逐步收敛终端配置。
- 对外上游：优先选择具备合规资质的上游；多上游配置+健康检查；启用DNSSEC验证（与子课题02衔接）；评估QNAME minimization（RFC 9156）开启。
- 日志与合规：解析日志留存≥6个月（对齐《网络安全法》第21条）；访问控制与日志分级授权；日志脱敏字段（如源IP截断保留）按组织隐私政策设计。
- 高可用：网关集群+任播；stale-answer（RFC 8767）提升容错；定期演练上游全断场景下的降级策略（明确决策：拒绝服务还是回退指定上游）。
- 发现机制：对内环境跟踪IETF ADD工作组关于DHCP/RA推送加密DNS配置的草案进展，条件成熟时优先采用标准化发现机制而非私有配置分发。
05 · 检测工程：未知加密DNS使用的狩猎要点
防御导向的检测假设示例（供SIEM/NDR平台实现，具体语法依平台而定）：
| 狩猎假设 | 数据需求 | 关注信号 |
|---|---|---|
| 终端直连未知DoH端点 | 出口NetFlow/代理日志、已知DoH清单 | 目的443持续小流量会话；目的IP不在业务白名单；JA3指纹非浏览器集合 |
| 853端口非常规连接 | 防火墙日志 | TCP/UDP 853目的非企业网关地址的连接尝试（发现即处置：引导或调查） |
| DNS隧道加密变体 | 网关解析日志、加密通道元数据 | 单域名超高查询频率、查询名长度分布异常（经受控网关时网关可见明文） |
| 恶意软件DoH C2 | EDR进程网络日志 | 非浏览器进程与陌生443端点的周期性连接+固定报文大小模式 |
边界：本节检测方案均为防御导向，目标是发现组织内的未授权加密DNS使用与恶意C2通信；不构成对任何加密通信内容的解密指引。对受控网关上的明文DNS可见性，应通过组织政策明示并限定用途。
06 · 与零信任架构的结合
零信任（NIST SP 800-207）原则下，DNS不应再被默认视为"可信平面"：ZTNA/SWG商业方案普遍以终端Agent接管DNS（模式C），将解析策略与用户身份、设备姿态绑定——这与本课题推荐架构一致。选型评估维度：
- Agent是否支持强制模式（不可被本地配置绕过）；
- 解析日志的留存与导出能力（满足法定留存与SIEM集成）；
- 上游解析的信任链是否透明可配置（避免供应商锁定带来的新中心化）；
- 离线/家用场景策略（避免员工在家庭网络产生审计缺口或倒逼影子IT）。
07 · 实施路线图与KPI
关键KPI
| KPI | 目标 | 测量方式 |
|---|---|---|
| 受控网关解析覆盖率 | ≥95% | 网关查询量 vs 网络侧53/853旁路流量 |
| 未知DoH会话发现率 | 100%有据可查 | 狩猎规则告警闭环 |
| 解析日志留存合规 | ≥6个月完整可用 | 审计抽样 |
| 解析可用性 | ≥99.9%（网关层） | 合成探测 |
本节参考来源（第6页）
以下均为真实可查的公开来源（IETF RFC、NIST标准、开源项目官方文档）。
NIST SP 800-207, Zero Trust Architecture（2020）：csrc.nist.gov/pubs/sp/800/207/final
Unbound官方文档（DoT/DoH/DoQ服务端与上游支持）：nlnetlabs.nl/documentation/unbound
dnsdist官方文档（PowerDNS）：dnsdist.org
RFC 8767, Serving Stale DNS Data（网关容错）：rfc-editor.org/rfc/rfc8767
RFC 9156, DNS Query Name Minimisation（上游隐私配置）：rfc-editor.org/rfc/rfc9156
JA3/JA4 TLS指纹方法（Salesforce开源项目与FoxIO文档）：github.com/salesforce/ja3
MITRE ATT&CK T1071.001 / T1572（检测映射参考）：attack.mitre.org