用途：检测域前置（MITRE ATT&CK T1090.004）C2 流量。攻击者在 TLS SNI 字段与 HTTP Host 头中使用不同域名，将 C2 流量伪装成合法 CDN 域名流量。本技能通过解析代理/Web 网关日志中的 SNI 与 Host 头不匹配、分析 TLS 证书识别 CDN 提供商、标记 SNI 指向高信誉域名但 Host 头指向攻击者控制域名的连接，并与已知 CDN 提供商 IP 段关联。
主要能力：解析含 SNI 与 Host 头字段的代理日志；比较 SNI 域名与 HTTP Host 头是否不一致；用 pyOpenSSL 提取 TLS 证书 Subject 与 SAN 字段；通过证书签发者和 IP 段识别 CDN 托管连接；在 CDN IP 上标记 SNI 与 Host 不同的高置信度域前置；基于域名信誉差异对告警评分；生成含网络流上下文的检测报告。
使用方式：需具备含 SNI 和 Host 头字段的 Web 代理或安全 Web 网关日志、Python 3.8+ 及 pyOpenSSL 与 cryptography 库、代理启用 TLS 检查以获取 Host 头、CDN 提供商 IP 段列表（CloudFront、Azure CDN、Cloudflare）。步骤包括解析日志、比对 SNI 与 Host、提取证书字段、识别 CDN 连接、标记高置信度域前置、评分并生成报告。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师结构化分析流程、验证相关攻击技术的监控覆盖。
限制：依赖代理日志字段完整性与 TLS 检查；需维护 CDN IP 段列表；具体命令与代码示例资料未提供。