怀疑数据通过 DNS 隧道外泄或 DGA/C2 通信时…

当 SOC 团队怀疑主机通过 DNS 隧道外泄数据、使用 DGA 域名或隐蔽 C2 通道时，用查询长度、熵值、查询量异常等分析 DNS 日志定位威胁。

适用场景

解决思路

1. 检测 DNS 隧道（子域名长度分析）：在 Splunk 中查询 index=dns sourcetype="stream:dns" query_type IN ("A","AAAA","TXT","CNAME","MX")，用 split(query,".") 拆分域名，取除注册域和 TLD 外的子域名部分（mvindex(domain_parts,0,mvcount(domain_parts)-3)），计算子域名长度，筛选 subdomain_len > 50 且查询数 > 20 的注册域，按平均子域名长度降序排列，输出注册域、查询数、唯一查询数、平均/最大子域名长度和来源 IP。
2. 检测高熵域名（DGA）：在 Splunk 中提取二级域名（SLD），计算其长度、元音数、辅音数、数字数，得出元音比例和数字比例；筛选 sld_len > 12 且（元音比例 < 0.2 或数字比例 > 0.3）的记录，按查询聚合，保留唯一域名数 > 10 的结果并按查询数降序。
3. 用 Python 计算 Shannon 熵：定义 shannon_entropy(text) 函数，用 collections.Counter 统计字符频率，按 -sum((count/length)*math.log2(count/length)) 计算并保留 4 位小数；正常域名（如 google）熵约 2.25，DGA 域名（如 x8kj2m9p4qw7n）约 3.70，Base64 隧道子域名约 3.50；阈值取熵 > 3.5 判定为疑似隧道/DGA。
4. 在 Splunk 中实现熵评分：提取查询的第一个标签作为 check_string，长度 > 8 时用 split 拆成字符，统计总字符数与唯一字符数，用 entropy_estimate = log(unique_chars,2)*(unique_chars/check_len) 估算熵，筛选 entropy_estimate > 3.5，按 src_ip 聚合，保留高熵查询数 > 50 的来源并降序排列。
5. 检测异常 DNS 查询量：按 1 小时分桶统计每个 src_ip 的查询数和唯一域名数，用 eventstats 计算每个 IP 的均值与标准差，计算 z_score = (queries - avg_queries)/stdev_queries，筛选 z_score > 3 或 queries > 5000，按 z_score 降序输出时间、IP、查询数、唯一域名数、均值和 z 分数。
6. 检测 TXT 记录滥用：查询 query_type="TXT"，按 src_ip 统计 TXT 查询数、唯一 TXT 域名数和域名列表，筛选 txt_queries > 100；用 case 分级：>1000 为 CRITICAL（极可能 DNS 隧道）、>500 为 HIGH（可能隧道）、>100 为 MEDIUM（TXT 量异常），按查询数降序输出。
7. 检测已知 DNS 隧道工具特征：将 query 转小写，匹配 \.dnscat\.、\.dns2tcp\.、\.iodine\.、\.dnscapy\.、\.cobalt.*\.beacon，或 query_type="NULL"，或（query_type="TXT" 且 len(query) > 100）；按 src_ip、query、query_type 统计计数并降序。
8. 检测 DNS over HTTPS（DoH）绕过：在 proxy 或 firewall 索引中，筛选 dest 属于公共解析器（1.1.1.1、1.0.0.1、8.8.8.8、8.8.4.4、9.9.9.9、149.112.112.112、208.67.222.222）且 dest_port=443 的连接，按 src_ip 和 dest 汇总出站字节数与连接数，筛选连接数 > 100 或总字节 > 10485760，标记为疑似 DoH 绕过。
9. 将 DNS 发现与终端数据关联：先按 src_ip 和 query 统计 DNS 查询数及首末时间，再 join 同一 src_ip 的 Sysmon EventCode=3、DestinationPort=53 记录，汇总连接数和进程 Image，输出 IP、查询、查询数、首末时间和关联进程。
10. 估算外泄数据量：提取查询的第一个标签作为编码数据，用 len 得到编码字节数，按 Base64 解码系数 0.75 估算解码字节数；汇总总字节、总查询数、首末时间，换算为 KB/MB、持续小时数和速率 kbps，输出查询数、估算 MB、持续小时、速率和首末时间。
11. 按输出格式生成分析报告：包含分析周期、来源主机与部门；发现项按严重级别列出（如 DNS 隧道：查询量、平均子域名长度、平均熵、查询类型分布、估算外泄数据量、速率；DGA：唯一域名数、模式、熵范围）；进程归因（进程名、PID、父进程、哈希与 VT 检测结果）；处置动作（EDR 隔离主机、DNS sinkhole 封堵域名、创建事件单）。

适用边界 · 注意事项

• 不适用于标准 DNS 故障排查或可用性监控——本技能专注于安全相关的 DNS 滥用检测。
• 需要已启用 DNS 查询日志并接入 SIEM（如 Splunk Stream:DNS、Zeek DNS 日志），否则无法执行。
• 需要正常 DNS 行为基线（查询量、域名分布、TXT 记录频率）才能有效识别异常。