用途：在 DNS 隐蔽信道数据外泄狩猎中使用，适用于威胁情报指向 DNS 型 C2、dns.log 出现异常高查询量、怀疑数据窃取但未发现 HTTP/S 外泄，以及监控 iodine、dnscat2、DNSExfiltrator、DoH 隧道等场景。
主要能力：分析查询长度分布（正常约 20-30 字符，隧道常超 50 字符）；计算子域 Shannon 熵（高于 3.5 bits/字符提示编码数据）；统计单域名唯一子域数量；监控 TXT、NULL、CNAME、MX 等记录类型分布；检测单源每小时超 100 次查询的高查询量；分析查询时间规律（信标或突发）；与 conn.log 关联定位进程或端点；结合 WHOIS、证书透明度和威胁情报验证域名。
使用方式：需 Zeek 部署于网络分光或 SPAN 端口并生成含完整查询与响应字段的 dns.log，配合 SIEM（Splunk、Elastic）、RITA 与被动 DNS 数据。可用 Zeek 脚本对超长查询发出 Notice，用 Splunk 查询按源与基础域统计查询数、唯一子域数与平均长度，或用 RITA 导入日志后执行 rita show-dns-tunneling 等命令输出结果。
适用场景：dnscat2 C2、iodine IPv4 隧道、DNS 数据外泄、DoH 隧道、Cobalt Strike DNS Beacon 等检测。
限制：DoH 隧道需 TLS 检查才能发现；检测依赖 dns.log 完整性与阈值调优，可能产生误报；资料未提供具体部署步骤、许可或价格信息。