01 · 问题定义与核心难点
问题定义：给定域名d的解析时序观测序列 O(d) = {(t, rrtype, rdata, ttl)}，判定d是否处于Fast-flux运营状态（single/double），并输出置信度与支撑证据。
1.1 三大难点
| 难点 | 具体表现 | 本课题对策 |
|---|---|---|
| 合法行为相似性 | CDN/GeoDNS/故障转移与flux共享"一域多IP、低TTL"外观 | 多特征联合 + CDN/DDNS白名单 + IP网络类型画像（第2页§01、§06） |
| 对抗性演化 | 延长TTL模仿CDN、利用被劫持的合法域名/证书、按查询来源分片应答 | 跨观测点一致性校验、注册/证书侧交叉验证（§07） |
| 冷启动与长尾 | 新生域名尚无流量，被动DNS不可见；小众TLD覆盖不足 | 新注册Feed驱动主动探测（第3页§02）、区域测量补盲 |
02 · 六层漏斗式识别体系
识别体系按"计算成本递增、误报率递减"设计为六层漏斗，每层都有明确的输入输出与可独立调参的阈值：
03 · 特征工程详表
| 特征 | 计算口径 | 区分直觉 | 主要文献依据 |
|---|---|---|---|
| IP基数 Nh | 小时窗口去重解析IP数 | 代理池规模远大于合法业务常规A记录条数 | Holz 2008 |
| Churn率 Rh | 窗口新进IP占比 | 代理节点上下线频繁；CDN池相对稳定 | Holz 2008；Perdisci 2012 |
| AS熵 HAS | IP池ASN分布的信息熵 | flux池跨大量运营商；CDN集中于少数AS | Holz 2008 |
| 住宅IP占比 | IP库网络类型标注为住宅/宽带的比例 | flux-agent以住宅宽带为主——本课题最具区分度的特征之一 | Honeynet 2007（定性）；行业实践 |
| TTL画像 | 权威TTL中位数/众数/熵 | flux压TTL至分钟级且长期稳定 | Holz 2008 |
| NS熵与NS churn | NS数量、NS-IP映射变化率 | double-flux的NS层同样流动 | Holz 2008 |
| 跨观测点一致性 | 同时刻不同观测点应答集合重合度 | 反侦察分片会降低一致性 | 测量方法学（第3页§02） |
| IP共享度 Jaccard | 域名间IP池交集/并集 | 同团伙多域共享代理池→团伙归并 | Holz 2008；图谱实践 |
| 注册侧信号 | 域名年龄、注册商、模板相似度（RDAP） | 短期批量注册 + flux运行 = 强收敛 | 子课题01/05接口 |
| 证书侧信号 | 证书签发时间、类型（DV占比）、issuer | 新生域名数日内签发DV证书并flux运行 | 子课题02接口 |
| DGA标签 | DGArchive家族匹配、字符熵 | DGA域名 + flux解析 = C2强候选 | 子课题03接口 |
| 应答语义 | NXDOMAIN率（历史）、wildcard痕迹 | 辅助区分DGA型与flux型流动性 | RFC 8020；实践 |
04 · 判定规则与基线（含校准声明）
以下为教学与工程起步用的参考规则集，阈值综合自第2页§06声明的文献基线；任何组织在投入使用前必须以本地合法业务基线重新校准，并按月回测：
| 规则 | 条件（AND） | 输出 |
|---|---|---|
| SF-1 疑似single-flux | Nh≥10 ∧ TTL中位数≤300s ∧ HAS≥3bit ∧ 住宅IP占比≥0.5 | suspected-single-flux（中置信） |
| SF-2 确认single-flux | SF-1 ∧ （命中威胁Feed ∨ 注册年龄<30天 ∨ CT新生DV证书） | confirmed-single-flux（高置信） |
| DF-1 疑似double-flux | SF-1 ∧ NS数≥4 ∧ NS-IP映射24h变化率≥0.3 | suspected-double-flux（中置信） |
| CLUS 团伙聚类 | 任意两域名 Jaccard(IP池)≥0.3 连边，社区发现 | infrastructure-cluster（团伙标签） |
阈值纪律：①所有阈值必须标注"校准版本+数据区间"，禁止跨环境直接搬运；②白名单（CDN/DDNS/企业多A）须经业务侧确认并设有效期复审；③规则命中必须附带支撑证据（特征值快照），无证据的告警不进入下游。
05 · 统计与机器学习方法谱系
5.1 四类方法
| 方法 | 思路 | 适用场景 | 注意事项 |
|---|---|---|---|
| 规则/评分卡 | 加权评分卡（本页§04） | 冷启动、可解释性要求高的场景 | 阈值维护成本随对抗演化上升 |
| 聚类 | 以IP池为"文档"、IP为"词"构建向量，DBSCAN/层次聚类 | 团伙发现、无标注起步 | 需控制特征缩放；标注后应转监督 |
| 异常检测 | Isolation Forest / LOF 于特征向量空间 | 未知形态发现 | 在"合法业务也很流动"的数据上误报偏高，宜作L3层而非终判 |
| 图方法 | 域名—IP二分图，图聚类/标签传播 | 平台化运营识别（Avalanche式） | 图规模大时注意计算成本与快照策略 |
5.2 评估协议
- 时间维评估：以"首次解析时间 vs 告警时间"度量检测时延，以"首次解析 vs Feed收录/公开报告"度量领先量——Fast-flux检测的核心价值指标是领先量（Perdisci等TDSC 2012即以"早期检测"为题）；
- 标注来源：威胁Feed命中 + 沙箱取证 + 注册商处置回执三级标注，避免单一来源循环验证；
- 指标：告警量（漏斗收敛度）、精确率（人工复核抽样估计）、检测时延分布、处置转化率（进入第5页度量）。
5.3 概念漂移与持续校准
- 漂移来源：攻击者TTL与池规模策略变化、合法云产品行为演化（Serverless入口、边缘函数）、观测面变化（加密DNS渗透）均会使特征分布漂移——静态阈值上线即开始老化；
- 再基线机制：每季度对合法业务样本重算基线分布；阈值变更经"影子模式（shadow mode）"灰度，比对新旧规则并行期的告警差异后方可切换；
- 标注预算策略：人工复核优先投放于"模型分歧大、新簇代表样本"（主动学习思想），将有限人力用于信息增益最高的样本；
- 对抗反馈：捕获到的规避手法（第5页§07）转化为新特征或规则测试用例，形成"攻击—检测"迭代闭环。
06 · 误报治理：白名单与反馈闭环
| 误报源 | 治理手段 |
|---|---|
| CDN / Anycast | 维护CDN ASN/域名后缀白名单（按月复审）；白名单内域名降权而非豁免全部特征 |
| DDNS服务商 | 已知DDNS后缀白名单；单域名少量IP + 高churn是DDNS常态，与flux的"大池"区分 |
| 企业多A轮询 | 企业资产台账对拍；企业域名TTL策略相对稳定，关注突发churn即可 |
| 云函数/Serverless入口 | 云厂商网关域名特征入库；其AS集中且信誉良好，与flux住宅池可区分 |
| DNS负载均衡产品 | 与网络团队协作维护"已知健康检查/故障转移"域名清单 |
反馈闭环：人工复核结论（确认/误报/未知）必须回写特征快照库，每月按"误报原因分布"修订规则与白名单——误报治理是持续运营，不是一次性配置。
07 · 溯源与交叉验证：从代理层回到注册层
检测确认后的核心任务是"沿域名上行溯源"（而非沿IP下行）：
- 注册侧（子课题01）：RDAP拉取注册商、注册时间、NS历史；注册时间<30天为高危加分；GDPR下个案主体核实经RDRS等正规披露通道；
- 证书侧（子课题02）：CT时间线还原"注册→签发→解析上线"完整时序，证书issuer集中度可辅助团伙归并；
- 图谱侧（子课题05）：同注册商/同模板/同NS基础设施的域名批量归并，输出团伙画像；
- DGA侧（子课题03）：命中DGArchive家族的域名直接获得家族标签，溯源范围扩展至整个家族基础设施。
置信度合成：最终置信度 = 漏斗层级分 × 交叉信号加成（每一路独立外部信号×1.2，封顶1.0）。输出必须携带证据清单，供下游处置方快速复核（第5页§04证据包）。
08 · 情报输出格式（STIX 2.1示例）
输出采用STIX 2.1 domain-name可观测对象（国内共享可对标GB/T 36643-2018，见专题首页口径），示例如下：
{
"type": "domain-name",
"spec_version": "2.1",
"value": "example-flux-domain.example",
"x_dm_labels": ["fast-flux", "single-flux", "phishing-hosting"],
"x_dm_confidence": 0.9,
"x_dm_evidence": {
"churn_rate_1h": 0.42,
"as_entropy_bits": 4.1,
"residential_ip_ratio": 0.73,
"ttl_median": 300,
"first_seen": "2026-XX-XX",
"cross_signals": ["ct-dv-cert-3d", "domain-age-12d"]
}
}注：自定义扩展字段（x_dm_*）为本课题内部约定，跨组织共享时应映射至接收方支持的属性集；confidence与evidence必须同传，拒绝"裸IOC"式共享。
本节参考来源（第4页）
T. Holz et al. NDSS 2008：ndss-symposium.org——特征体系（N、churn、AS熵、TTL、NS熵）出处。
M. Perdisci, I. Corona, G. Giacinto. IEEE TDSC 2012：ieeexplore.ieee.org——被动DNS大规模flux早期检测与过滤架构。
L. Bilge et al. "EXposure". NDSS 2011：ndss-symposium.org。
M. Antonakakis et al.（Kopis）. USENIX Security 2010：usenix.org——递归级信誉的时序特征思想。
OASIS STIX 2.1规范（domain-name对象）：docs.oasis-open.org；GB/T 36643-2018（国内对标）。
子课题接口：01（RDAP/RDRS）、02（CT）、03（DGArchive, ACSAC 2016）、05（注册画像）——见各子课题详情页。