01 · 案例分析方法论
本课题采用"攻击链 → 检测点"分析法：把每起真实事件还原为"攻击面（H-1~H-6）→ 手法 → 痕迹"，再映射到"第4页的六类检测手段"，检验方法的覆盖性与缺口。选取 Sea Turtle 因其完整覆盖了H-4（注册/权威劫持）+ 中间人（H-6）组合，且公开材料最充分，最具教学与工程价值。
02 · Sea Turtle 完整攻击链
据 Cisco Talos（2019）披露，Sea Turtle 的核心不是"投毒"，而是控制解析的源头：
2.1 关键检测点
| 攻击环节 | 可被命中的检测手段 | 说明 |
|---|---|---|
| 改NS（②） | 被动DNS + 证书透明度 + 权威回源 | NS突变、新证书入CT日志、与历史基线背离 |
| 中间人（③） | 证书透明度 + 多解析器交叉 | 被导向站证书异常、解析结果与可信解析器背离 |
| 长期潜伏 | 被动DNS时间线 + 注册变更审计 | 历史基线持续异常，注册商侧应有变更记录 |
Sea Turtle 给本课题的启示：①DNSSEC在此类事件中若NS被改则失效——再次印证"注册锁+双因素+变更审计"才是针对H-4的根本防线；②检测必须"解析层 + 证书层"双锚点，单看解析易被"合法签名的新NS"骗过；③对关键域名，注册商侧的变更审计（带外确认）是"前置拦截"的关键。
03 · 六类检测信号（可编排）
综合前7页，本课题将检测沉淀为六类可被SIEM/SOAR编排的信号，每类对应一种"异常指纹"：
| 编号 | 信号 | 指纹（触发条件） | 覆盖类别 |
|---|---|---|---|
| S-1 | 多解析器背离 | 某解析器返回IP偏离"最小一致集"且非CDN差异 | H-3/H-5/H-6 |
| S-2 | DNSSEC BOGUS | 签名域验证失败 | H-3/H-5/H-6（签名域） |
| S-3 | 被动DNS突变 | 域名↔IP映射出现历史未见且无变更记录的值 | H-4/H-3 |
| S-4 | CT异常证书 | 目标域名出现未知/可疑CA签发的证书 | H-4/H-2 |
| S-5 | TTL/一致性异常 | TTL或NS/SOA偏离历史与合理范围 | H-5/H-4 |
| S-6 | 控制域名污染 | 本不应被改的控制域名也返回异常（系统性注入） | H-3/H-6 |
编排逻辑：S-1~S-6任一触发为"可疑"，≥2类交叉（尤其含S-2/S-3/S-4任一类"密码学/历史"锚点）升级为"事件"并启动第6页剧本。这正式落地了第1页KQ-1（差异≠恶意）的判定纪律。
04 · 检测规则样例（伪代码）
# 伪代码：事件升级判定（仅示意，非可运行实现）
IF S-2(DNSSEC BOGUS) OR S-3(被动DNS突变) OR S-4(CT异常):
SEVERITY = HIGH
TRIGGER 第6页 应急剧本(级别=Ⅰ/Ⅱ)
ELIF S-1 AND (S-5 OR S-6):
SEVERITY = MEDIUM
CROSS_CHECK 权威回源 + 控制域名
IF 确认异常: TRIGGER 应急剧本(级别=Ⅱ/Ⅲ)
ELSE IF S-1 单发:
SEVERITY = LOW
SUPPRESS 误报(排查CDN/智能解析白名单)伪代码用于说明"信号→判定→响应"的编排逻辑；实际规则须结合各组织环境、白名单与阈值调优。
05 · 实施路线图
05b · 检测工程 KPI（运营度量）
检测能力建设的成效必须以可度量指标验收，建议纳入季度评审：
| 指标 | 定义 | 参考目标 |
|---|---|---|
| MTTD（平均检测时间） | 从劫持发生到S-1~S-6任一信号触发的时间 | <15分钟（权威被改类） |
| 误报率 | 告警中经四道验证判为"正常CDN/智能解析差异"的比例 | <20%，逐季下降 |
| 锚点覆盖率 | 重点域名中具备"DNSSEC+被动DNS+CT"三锚点监测的占比 | 100%（Top资产） |
| 联动时效 | 事件确认→RPZ阻断/注册商冻结的耗时 | <1小时 |
| 测量覆盖 | 活跃探针的省份×运营商组合数、控制域名数量 | 持续扩容 |
KPI为本课题建议值，组织应按自身资产规模与风险等级校准。
06 · 局限性与展望
- 未签名域盲区：DNSSEC仅在已签名域生效，全球验证率仍偏低（第5页），未签名域依赖降级检测，存在漏报风险。
- 加密DNS的双刃：DoH/DoT提升隐私但也削弱内网可见性，企业需自建加密解析以兼顾（第7页）。
- 注册侧天花板：NS被改（H-4）时DNSSEC失效，根本防线在注册锁与变更审计，超出纯技术检测范畴。
- 对抗演进：攻击者可能用更精细的"按网络/按用户"定向投毒规避聚合测量，需更高密度探针与行为建模（关联"DNS异常行为分析"子课题）。
- 展望：与"递归解析器安全审计""DNS异常行为分析""域名数据与威胁监测"等兄弟子课题打通，形成"检测—归因—监测—加固"的全链条能力。
07 · 八页总结
子课题01"DNS劫持与篡改检测"以"终端—递归—权威—注册/根"全链路为对象，构建了一套可观测、可验证、可度量、可处置的方法体系：第1页确立框架与分类（H-1~H-6），第2页拆解攻击面，第3页剖析缓存投毒机理，第4页给出六类检测手段，第5页用测量网络与实证数据校准，第6页规范取证与响应，第7页落实防护与合规，第8页以实战案例收口为检测工程。核心结论可凝练为一句话：DNS劫持的本质是"地址簿被改写"，终结它的不是单一银弹，而是"DNSSEC验证 + 多路径比对 + 证书透明度 + 注册锁"的多锚点纵深防御。
给读者的行动建议：①个人/企业优先启用DNSSEC验证的解析器并核查网关DNS；②高价值域名务必启用注册锁与双因素；③安全团队按阶段1→4路线图渐进建设检测能力，并将本课题六类信号编排进现有SOC。
本节参考来源（第8页）
Cisco Talos, "Sea Turtle: DNS hijacking abuse of trust"（2019）及后续更新：blog.talosintelligence.com/sea-turtle
RFC 4033/4034/4035（DNSSEC）；RFC 8484（DoH）：datatracker.ietf.org
APNIC Labs, "Measuring DNSSEC"（验证率测量）：stats.labs.apnic.net/dnssec
证书透明度：certificate.transparency.dev；被动DNS：SecurityTrails/DNSDB
本专题第1—7页（框架/类型学/缓存投毒/检测体系/实证数据/取证响应/防护治理）