01 · 部署场景总览
| 场景 | 观测点 | 特点与约束 |
|---|---|---|
| 企业递归解析器 | 内网DNS（含转发器） | 可见内网全部查询；可叠加RPZ直接阻断；受加密DNS分流挑战，需策略管控 |
| 运营商/公共DNS | 大规模递归集群 | 流量最大、家族发现能力最强；误伤代价最高，阈值最保守；QPS成本最敏感 |
| 安全厂商SaaS | 保护性DNS（Protective DNS）服务 | 多租户聚合视角，跨客户家族发现；以响应策略（NXDOMAIN改写/牵引）交付 |
| 网络检测与响应（NDR） | 镜像流量/NetFlow | 可见DoH之外的明文DNS及元数据；适合做第二意见与回溯分析 |
| 主机侧EDR | 终端DNS钩子 | 可见进程-域名关联（黄金上下文：哪个进程发起了查询）；覆盖面受部署率限制 |
02 · DNS遥测采集与加密DNS应对
2.1 核心观测信号
- NXDOMAIN流：DGA探测的绝大多数响应为NXDOMAIN，FANCI证明仅NXDomain特征即可高效判别；
- 查询时序与群体行为：同一源IP短时间内对大量相似随机域名的探测模式（Pleiades的群体聚类思想）；
- Passive DNS：历史解析记录关联，用于家族追踪与基础设施还原（第7篇）。
2.2 加密DNS的影响与对策
DoT（RFC 7858）、DoH（RFC 8484）、DoQ（RFC 9250）的普及使明文DNS逐渐退出企业边界，检测可见性面临根本性收缩。恶意软件也迅速跟进——公开报告记录了2019年起木马开始滥用DoH隐藏C2通信的先例。本课题建议的组合对策：
| 对策 | 说明 |
|---|---|
| 解析器前置检测 | 把检测直接部署在递归解析器数据面，无论上游走DoH还是明文，查询都必须经解析器应答——这是可见性最稳健的位置 |
| DoH出口管控 | 企业边界拦截/重定向绕过组织策略的DoH流量（维护公共DoH服务清单），引导至组织受控解析器 |
| 终端侧遥测 | EDR采集进程级DNS事件，弥补网络侧可见性缺口，并获得进程上下文 |
| 元数据降级检测 | 对不可见内容场景，退化为流量元数据特征（时序、字节数、目的IP信誉）——检出率下降但保留兜底能力 |
03 · 在线评分管道架构
解析器侧DGA评分管道
全量快筛＋二次精判的分层设计，把深度模型限制在可承受的流量子集上
说明：架构综合FANCI（USENIX Sec 2018）的解析器侧范式与本课题分层阈值方法论。
3.1 延迟预算参考
- 白名单快路：O(1)哈希查找，目标≤数微秒；应承载90%以上流量；
- 统计快筛：单次字符遍历，目标≤数十微秒；
- 深度精判：批量推理摊销后单查询目标≤1毫秒，缓存可进一步去重；
- 决策与下发：RPZ增量推送为异步动作，不在查询关键路径上。
04 · 性能工程要点
- 缓存复用：DGA域名极少重复，但白名单与热门域名命中率极高；LRU缓存显著摊销深度模型成本；
- 批量推理：将窗口内候选域名攒批送入GPU/ONNX运行时，提升吞吐；纯CPU环境优先选CNN而非LSTM；
- 模型压缩：INT8量化、知识蒸馏可将深度模型体积与延迟降低数倍，对抗精度损失需在基准上复测（第5篇协议）；
- 水平扩展：评分层无状态，可随解析器集群水平扩容；策略决策层集中管理，保证策略一致。
05 · 误报治理与灰度发布
- 分层处置：高置信阻断、中置信灰度（先记录后阻断）、低置信观测，每层独立监控误伤；
- 灰度发布：新模型先以纯记录模式上线，与旧模型并行比对分歧率，达标准后逐步放开阻断；
- 豁免机制：业务方可对误判域名申请豁免，豁免列表进白名单并回流训练集作负样本；
- 碰撞排除：任何批量处置动作前必须与现存注册库比对（Conficker.C每日150—200个碰撞域名的历史教训）。
06 · 运营KPI体系
| KPI | 目标口径（示例） | 说明 |
|---|---|---|
| AGD检出率 | FPR≤0.1%下召回≥约定值 | 以基准协议（第5篇）口径季度复测 |
| 误伤率 | 阻断回滚率低于约定阈值 | 真实业务影响的直接度量 |
| 管道覆盖率 | 白名单快路占比、深度模型触达率 | 监控成本结构是否健康 |
| 延迟P99 | 全管道P99在预算内 | 防止检测拖垮解析SLA |
| 家族覆盖 | 归因家族数与未知家族发现数 | 衡量对新威胁的覆盖能力 |
| 漂移告警 | 分布监控告警的响应时效 | 概念漂移（第4篇）的运营化落地 |
本篇参考来源（第6篇）
以下均为真实可查的公开标准、论文与厂商技术文档。
[1]
Schüppen S. 等：FANCI（解析器侧NXDomain检测范式），USENIX Security 2018：usenix.org会议页
[2]
IETF RFC 7858：DNS over TLS（DoT）规范：rfc-editor.org
[3]
IETF RFC 8484：DNS over HTTPS（DoH）规范：rfc-editor.org
[4]
IETF RFC 9250：DNS over QUIC（DoQ）规范：rfc-editor.org
[5]
ISC BIND 9 Administrator Reference Manual：Response Policy Zones (RPZ)机制：bind9.readthedocs.io
[6]
ICANN：Conficker Summary and Review（2010，含碰撞域名处置教训）：icann.org官方PDF
[7]
Antonakakis M. 等：Pleiades（群体聚类发现未知家族），USENIX Security 2012：usenix.org会议页
[8]
Woodbridge J. 等：LSTM DGA检测（深度精判模型来源），arXiv:1611.00791：arxiv.org