DGA域名检测

01 · 从检测到家族归因

检出AGD只是起点，家族归因决定处置路径：TDD家族可经种子重建预注册封锁，TDN家族只能依赖行为阻断，TID家族可走已知集合匹配（第2篇分类学）。家族画像的构成要素包括：

• 生成画像：日产量、批量周期、域名长度与字符集、TLD偏好（如Necurs备选DGA覆盖43个TLD）、时区活跃模式；
• 基础设施画像：名称服务器聚合度、注册商集中度、注册时间窗——与子课题01（注册数据治理）共享RDAP数据底座，实现“注册—解析”双信号关联；
• 行为画像：探测频率、回连成功比例、与已知恶意基础设施（Fast-flux、被滥用动态DNS）的重叠——与子课题04接口衔接。

技术上，家族归因由第4篇的多分类模型与聚类分析承担；归因结果必须与DGArchive家族档案交叉验证，低置信样本进入“未知”出口并触发逆向流程（第2篇），形成“检测→归因→逆向→归档”的家族知识自增长闭环。

02 · 种子重建与预测性防御

Open SESAME（NDSS 2021）确立了当前最先进的种子重建范式：从被动DNS观测出发，自动恢复DGA的种子与PRNG参数，使防御方无需人工逆向即可“预知未来域名”。该工作把公开家族覆盖从43个扩展到99个，并明确指出攻防双方的努力不对称性——攻击者更换种子只需重新编译，防御者的重建管线却可批量自动化运行。本课题据此建立两级预测性防御：

03 · 僵尸网络剿灭案例复盘

共性启示：①成功案例均依赖DGA算法/种子的提前掌握——逆向与重建能力是处置前提；②单次行动只能压制不能根除，复活监测必须常态化；③跨机构（厂商、CERT、注册局、执法）协同是规模化的唯一路径。

04 · 协同处置链路

05 · 威胁情报标准化输出

DGA情报的标准化封装要求：

• IOC形态：域名对象（含生成时间窗与家族标签）；对已注册成功的C2域名附加解析记录与sinkhole状态；
• 标准格式：STIX 2.1（domain-name对象＋malware对象＋relationship表达“域名由某DGA家族生成”），国内对标GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》；交换协议TAXII 2.x；社区消费兼容MISP格式；
• 置信度分级：家族归因置信度、种子重建置信度、处置建议（观察/阻断/预注册）分级标注，避免下游误用；
• 时效标注：候选清单必须标注生效时间窗（TDD家族的日期范围），过期自动失效，防止陈旧情报误伤。

5.1 STIX 2.1封装示意（节选）

{
  "type": "domain-name",
  "value": "example-agd-domain.tld",
  "x_family": "conficker",
  "x_seed_window": "2009-04-01/2009-04-02",
  "x_confidence": "high",
  "x_action": "block"
},
{
  "type": "relationship",
  "relationship_type": "generated-by",
  "source_ref": "domain-name--...",
  "target_ref": "malware--..."
}

注：x_前缀字段为自定义扩展属性示例；正式共享时应配套扩展定义文档。

06 · 处置效果度量

• 压制效果：sinkhole承接的日活感染主机趋势（如Necurs行动的15.5万IP/日基线）；
• 复活监测：家族沉寂后重新活跃的告警时效；newGOZ复活即是教训；
• 处置时效：从首次发现到封锁生效的全链路时长，按家族分级考核；
• 协同效率：跨机构处置请求的响应率与完成率（含.CN通道）。
• 情报消费质量：下游订阅方对候选清单的命中/误用反馈率；时效标注合规率（过期清单自动失效率）。

本篇参考来源（第7篇）

以下均为真实可查的官方公告、论文与标准。