用途：在安全评估、事件响应、定期安全测试与审计中，分析 DNS 流量以发现 DNS 隧道迹象，识别可能被用于隐蔽数据外传的查询行为。
主要能力：基于查询名特征的熵分析与统计方法。核心检测指标包括：子域标签的香农熵偏高（大于 3.5）、查询名异常长（超过 50 字符）、对单一域名的大量 TXT 记录请求、每个父域下唯一子域数量偏高、标签字符分布异常。
使用方式：需具备安全运营概念与工具基础，准备测试或实验环境，Python 3.8+ 并安装所需依赖，且拥有相应测试授权。示例中定义 shannon_entropy 函数计算字符分布熵，合法域名（如 www.google.com）熵值约 3.0-3.5，隧道域名（如 aGVsbG8gd29ybGQ.tunnel.example.com）熵值约 4.0-5.0。可结合 scapy 读取 pcap 文件，遍历含 DNSQR 层的包，对查询名计算熵，超过阈值（如 4.0）即输出可疑记录。
适用场景：安全评估、事件响应流程、计划性安全测试或审计、通过实操验证安全控制。
限制：资料未提供具体阈值调优、误报率、性能数据或与其他工具的集成方式；实际使用需自行准备流量样本与授权环境。