8.3.2 DNS 异常查询模式识别

文档摘要

8.3.2 DNS 异常查询模式识别 DNS，这个互联网的“电话簿”，早已不是当年那个安静守在角落、只负责把翻成的朴素服务了。它如今是流量调度的神经末梢、零信任认证的验证信使、CDN边缘路由的决策入口，更是攻击者眼中最隐蔽的“数据渗漏隧道”与“C2通信跳板”。当一次看似普通的记录查询背后，藏着每秒 237 次对的递归请求；当某台内网 DNS 转发器在凌晨 2:17 突然向 8.8.8.8 发起 17 秒不间断的查询洪流；当某个 IoT 设备在固件从未更新的前提下，连续 3 天每天生成完全随机的 22 字符子域名——这些不是故障，而是异常在呼吸。而我们，在“8.3.