“DNS Beaconing” 是一種隱蔽的網絡通信技術，通常與惡意軟件（如木馬、僵尸網絡）相關。攻擊者通過定期發送?DNS請求?到受控的域名服務器（C&C服務器），實現與惡意軟件的隱蔽通信、數據傳輸或指令下發。由于 DNS 協議是網絡基礎服務，這類流量往往較難被傳統防火墻檢測到。

---

關鍵特征（如何檢測？）

1. 異常的查詢頻率

   • 惡意軟件通常會以固定間隔（如每分鐘一次）發送 DNS 請求，形成“心跳”信號（Beaconing）。
   • 正常 DNS 流量通常是隨機且低頻的，而 Beaconing 會表現出周期性規律。

2. 隨機子域名或長域名

   • 攻擊者可能使用動態生成的子域名（例如?a1b2c3.example.com）傳遞數據或指令。
   • 域名長度異常（如超過 100 字符）或包含 Base64 編碼的數據。

3. 非常規的域名解析模式

   • 查詢大量不存在的域名（NXDOMAIN 響應激增）。
   • 短時間內對同一根域名的大量子域名發起查詢（例如?xxx1.evil.com,?xxx2.evil.com）。

4. DNS響應包含數據

   • 攻擊者可能通過 DNS 響應的?TXT?記錄或其他字段傳遞加密指令或數據。

---

防御與應對措施

1. 監控 DNS 日志

   • 分析 DNS 請求的頻率、目標域名、響應類型（如?TXT?記錄使用率）。
   • 使用工具：SIEM（如 Splunk）、DNS 防火墻（Cisco Umbrella）、Suricata 等。

2. 部署威脅情報

   • 集成已知惡意域名的黑名單（如 VirusTotal、MISP）。
   • 檢測對可疑域名（如新注冊的、短生命周期的域名）的查詢。

3. 限制 DNS 協議濫用

   • 禁止非必要設備的 DNS 外聯權限。
   • 強制使用加密 DNS（如 DoH, DNS over HTTPS）并過濾異常流量。

4. 行為分析與機器學習

   • 通過基線分析識別異常 DNS 行為（例如頻率突增、周期性模式）。

---

工具推薦

• Wireshark：抓包分析 DNS 流量內容。
• Bro/Zeek：網絡流量分析工具，支持 DNS 協議深度解析。
• Security Onion：開源威脅檢測套件，集成 Suricata 和日志分析。
• CrowdStrike?或?FireEye：商業級 EDR/XDR 檢測 DNS Beaconing。