analyzing-dns-logs-for-exfiltration

分析 DNS 日志中的数据外泄

适用场景

在以下情况下使用本技能：

• SOC 团队怀疑通过 DNS 隧道进行数据外泄以绕过防火墙/代理控制
• 威胁情报显示对手使用基于 DNS 的 C2 信道（例如 Cobalt Strike DNS Beacon）
• UEBA 检测到特定主机存在异常 DNS 查询量
• 恶意软件分析揭示具有 DNS-over-HTTPS（DoH）或 DNS 隧道能力

不适用于标准 DNS 故障排除或可用性监控——本技能专注于与安全相关的 DNS 滥用检测。

前置条件

• 已启用 DNS 查询日志记录（Windows DNS Server、Bind、Infoblox 或 Cisco Umbrella）
• DNS 日志已摄取到 SIEM（Splunk 的 Stream:DNS、dns 数据源或 Zeek DNS 日志）
• 用于历史域名解析分析的被动 DNS 数据
• 正常 DNS 行为基线（查询量、域名分布、TXT 记录频率）
• Python（含 math 和 collections 库）用于熵值计算

工作流程

步骤 1：通过子域名长度分析检测 DNS 隧道

DNS 隧道将数据编码在子域名标签中，产生异常长的查询：

index=dns sourcetype="stream:dns" query_type IN ("A", "AAAA", "TXT", "CNAME", "MX")
| eval domain_parts = split(query, ".")
| eval subdomain = mvindex(domain_parts, 0, mvcount(domain_parts)-3)
| eval subdomain_str = mvjoin(subdomain, ".")
| eval subdomain_len = len(subdomain_str)
| eval tld = mvindex(domain_parts, -1)
| eval registered_domain = mvindex(domain_parts, -2).".".tld
| where subdomain_len > 50
| stats count AS queries, dc(query) AS unique_queries,
        avg(subdomain_len) AS avg_subdomain_len,
        max(subdomain_len) AS max_subdomain_len,
        values(src_ip) AS sources
  by registered_domain
| where queries > 20
| sort - avg_subdomain_len
| table registered_domain, queries, unique_queries, avg_subdomain_len, max_subdomain_len, sources

步骤 2：检测高熵域名查询（DGA 检测）

域名生成算法（DGA）产生看似随机的域名：

index=dns sourcetype="stream:dns"
| eval domain_parts = split(query, ".")
| eval sld = mvindex(domain_parts, -2)
| eval sld_len = len(sld)
| eval char_count = sld_len
| eval vowels = len(replace(sld, "[^aeiou]", ""))
| eval consonants = len(replace(sld, "[^bcdfghjklmnpqrstvwxyz]", ""))
| eval digits = len(replace(sld, "[^0-9]", ""))
| eval vowel_ratio = if(char_count > 0, vowels / char_count, 0)
| eval digit_ratio = if(char_count > 0, digits / char_count, 0)
| where sld_len > 12 AND (vowel_ratio < 0.2 OR digit_ratio > 0.3)
| stats count AS queries, dc(query) AS unique_domains, values(src_ip) AS sources
  by query
| where unique_domains > 10
| sort - queries