用途：检测利用 DNS 作为隐蔽信道的数据外泄。攻击者将窃取数据编码进查询子域或响应记录（TXT、CNAME、NULL），绕过通常放行 DNS 的安全控制；iodine、dnscat2、dns2tcp 等工具可实现完整 TCP over DNS 隧道。本技能通过被动 DNS 分析、统计方法与机器学习构建检测能力。
主要能力：识别异常指标，如子域长度 40-253 字符、标签数 5-10+、Shannon 熵 4.0-5.5 bits、单域每分钟数百至数千次查询、TXT 响应 200-4000+ 字节、唯一子域极多、TXT/NULL/CNAME 查询占比高。提供 Python 检测脚本，计算熵、提取子域与基础域、判断 base64/hex 编码，按阈值打分并输出可疑域名。
使用方式：用 Zeek（zeek -i eth0 -C base/protocols/dns 或 zeek -r traffic.pcap base/protocols/dns）、tcpdump（tcpdump -i eth0 -w dns_capture.pcap port 53）或 Suricata EVE JSON 采集 DNS 日志；运行 Python 脚本分析 Zeek dns.log 或 EVE JSON；部署 Suricata 规则检测长查询、高熵子域、大 TXT 响应、NULL 查询与 dnscat2 特征；在 SIEM 中用 SPL 按查询量、平均子域长度、唯一子域数聚合评分。
适用场景：安全事件调查、威胁狩猎、SOC 分析流程、检测规则编写与监控覆盖验证。
限制：需具备 DNS 日志访问、Zeek/Suricata/tcpdump、Python 3.8+ 及 scipy、numpy、pandas、scikit-learn、SIEM 平台和环境正常 DNS 基线；阈值需按环境调整；DoH/DoT 可能绕过 DNS 检查。资料未提供具体收费、价格或平台信息。