用途：面向安全运营（SOC）与威胁狩猎，从 DNS 查询日志中发现数据外泄与隐蔽通信，包括 DNS 隧道、DGA 域名、基于 DNS 的 C2 通道，以及 DNS-over-HTTPS 绕过监控的行为。不适用于常规 DNS 排障或可用性监控。
主要能力：
- 子域长度分析：拆分查询域名，统计子域长度超过 50 的注册域，识别隧道编码特征。
- 高熵域名检测：用元音/数字比例与香农熵（阈值约 3.5）识别 DGA 与 Base64/十六进制编码子域。
- 查询量异常：按小时分桶计算 z-score（>3）或绝对阈值（>5000）发现异常主机；并检测 TXT 记录滥用。
- 工具特征匹配：匹配 dnscat、dns2tcp、iodine、dnscapy、Cobalt Strike beacon 等特征，以及 NULL 类型和超长 TXT 查询。
- DoH 绕过检测：在代理/防火墙日志中查找发往 1.1.1.1、8.8.8.8、9.9.9.9 等公共解析器 443 端口的大流量连接。
- 关联与估算：与 Sysmon 进程数据关联定位进程，并按 Base64 解码系数估算外泄字节数、速率与持续时间。
使用方式：需先启用 DNS 查询日志（Windows DNS Server、Bind、Infoblox、Cisco Umbrella 等）并接入 SIEM（Splunk Stream:DNS、dns sourcetype 或 Zeek DNS 日志），具备被动 DNS 数据与正常行为基线，以及带 math、collections 的 Python 环境。核心查询以 Splunk SPL 给出，熵计算提供 Python 函数 shannon_entropy(text)，示例阈值 entropy > 3.5。
适用场景：Cobalt Strike DNS Beacon、Base64/hex 子域外泄、DGA 恶意软件、员工使用 DoH 绕过企业 DNS 过滤、低速慢速外泄（需基线对比）。
限制：依赖日志采集完整性与基线质量；熵与长度阈值需按环境调优，可能产生误报；DoH 加密流量本身无法直接解析内容；估算字节数为近似值。具体部署细节与许可信息暂未提供。