用途：分析 Zeek dns.log（TSV 格式）以发现基于 DNS 的数据外泄迹象，适用于安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析流程，以及相关攻击技术的监控覆盖验证。
主要能力：解析日志头字段（ts、id.orig_h、query、qtype_name、rcode_name、answers）；将 FQDN 拆分为子域标签与父域；计算各子域标签的 Shannon 熵（正常通常低于 3.5，编码数据常高于 4.0）；标记超过 52 字符的标签（接近 63 字符上限）；统计每个父域的唯一子域数（超过 50 个可疑）；计算每源 IP 每域每分钟查询量；综合熵、标签长度、唯一数与查询量形成风险分并排名；输出 JSON 检测报告，含被标记域名、证据指标、来源 IP 与响应建议。可发现 dnscat2、iodine、dns2tcp 及自定义 DNS 隧道。
使用方式：需 Python 3.9+（仅用 math、collections 标准库）、Zeek 5.0+ 处理的 dns.log 及 DNS 协议与查询类型基础知识。步骤为解析表头、分解查询、计算熵、检测长标签、统计唯一子域、识别查询量异常、评分排名、生成报告。
限制：依赖标准字段头与 TSV 格式；阈值（如熵 3.5、标签 52、唯一子域 50）为可配置判定，需结合环境调优；具体安装命令、代码实现与运行命令暂未提供。