DGA域名检测

01 · 检测问题的形式化定义

DGA检测在数学上是两个相关但不同的任务：任务一（二分类）——给定域名d，判定其是否属于AGD，即学习分类器 f: d → {0,1}；任务二（家族归因）——给定AGD，判定其所属家族，即 f: d → {F₁,…,F_n,未知}。任务一的输出直接驱动阻断，任务二的输出驱动种子重建与处置协同（第7篇）。输入信号也存在两个层次：仅域名字符串（离线训练友好、可前置到任意解析点）与域名＋流量上下文（源IP、查询频率、NXDOMAIN率、时序——信息更丰富但部署位置受限）。本课题以“域名字符串＋轻量流量特征”为主干线，因为它同时满足低延迟与隐私最小化要求。

02 · 统计特征体系

字符随机型DGA的输出在统计上显著偏离人类命名习惯，这是统计检测的物理基础。主流特征及其家族敏感度如下：

2.1 特征开销的工程意义

FANCI一文的现实贡献在于证明：多数统计特征的计算开销极低（字符遍历级别），适合在递归解析器数据面上以每查询微秒级成本执行；而深层模型虽精度更高，却带来内存与延迟预算压力。工程上合理的分工是——统计模型作为全量快筛，深度模型作为二次精判（第6篇展开）。

03 · 经典检测基线

3.1 Yadav等（IMC 2010）：统计特征的奠基

Yadav等人在IMC 2010论文中系统论证了基于熵与bigram分布的AGD识别可行性：以顶级良性域名列表为参照分布，统计待测域名的bigram异常度与熵值，可在多个公开DGA家族上实现检出，且计算完全离线化。该工作的历史意义在于确立了“良性基准分布＋统计偏离度”这一沿用至今的检测范式。

3.2 Antonakakis等（USENIX Security 2012）：Pleiades

Pleiades首次在运营商级真实DNS数据上验证DGA检测：第一阶段以无监督聚类（基于查询失败率、请求群体相似度等行为特征）发现疑似DGA域名群；第二阶段以有监督分类器（随机森林，特征含n-gram、熵、长度、TLD）判别。该方法的价值不仅在于检出，更在于以群体为单位发现未知家族——即便模型从未见过某DGA，其受控主机群的查询模式仍会暴露异常。

3.3 FANCI（USENIX Security 2018）：解析器侧低开销方案

FANCI直接以NXDOMAIN流为输入，构建21维轻量特征，在树模型上实现低开销二分类与家族归因，并给出特征重要性的系统分析，证明其方案可在资源受限的解析器上实时运行。对本课题而言，FANCI确立了“检测前置到解析器”的工程范式，与第6篇管道设计直接衔接。

04 · 词典型DGA专项检测

Suppobox类词典型DGA把英文词典单词拼接为域名（如noiseand（词典词组合）式结构），其熵、长度与n-gram统计特征与正常品牌域名高度重叠，是统计检测的经典盲区。专项思路包括：

• 词典覆盖率：以大规模英文词典做贪心分词，计算“可完整切分为词典词”的比例；词典型AGD的覆盖率显著高于随机字符型，但也可能误伤由词根构造的品牌域名——需结合TLD与注册特征加权。Koh与Rhodes（IEEE BigData 2018，Inline Detection of Domain Generation Algorithms with Context-Sensitive Word Embeddings）利用上下文敏感词嵌入对域名做词级编码，显著提升了词典型DGA的检出——说明词级语义特征比纯字符统计更能撕开词典型DGA的伪装。
• 搭配异常度：词典型DGA的单词搭配无语义关系，可统计相邻词对的语言模型概率；真实品牌命名通常保留一定语义或音韵连贯性。
• 深度学习通道：第4篇将说明，字符级深度模型（LSTM/CNN）能隐式学习字符转移概率，对词典型DGA的召回显著优于人工统计特征——这是统计方法与深度方法应串联部署的直接理由。

05 · 训练数据构造与标签陷阱

• 正样本（AGD）：首选DGArchive按家族导出的生成域名；注意其过期域名可能被域名投资人重新注册为正常站点——直接使用历史列表会产生标签污染，必须按时间窗过滤（第5篇详述协议）。
• 负样本（良性）：Tranco（NDSS 2019，抗操纵聚合排名）为当前学术基准；Cisco Umbrella、Cloudflare Radar可作为工程补充；Alexa Top站点服务已于2022年5月随alexa.com关闭而停用，旧论文中以Alexa为基准的结论不可直接复现。
• 合法随机域名：必须显式纳入负样本——浏览器连通性探测域名（如Chrome启动探测）、CDN与云服务生成域名，否则模型会学到“随机即恶意”的错误边界，上线即误伤。
• 样本均衡：按家族均衡采样而非按域名数量自然分布采样，防止大体量家族（如Conficker.C的5万/日）淹没稀有家族，导致模型对稀有家族失效。

06 · 评估方法论

6.1 阈值与运营取舍

阻断动作的成本不对称：误报会切断正常业务（DNS是基础设施），漏报则放过C2会合。因此工程上采用分层阈值：高置信区间直接阻断；中置信区间触发RPZ灰度（先记录后阻断）；低置信区间仅记录观测。阈值依据业务流量基线标定，并随误伤反馈滚动调整（第6、8篇）。

本篇参考来源（第3篇）

以下均为真实可查的同行评审论文与公开基准资料。