DNS 协议因默认放行策略成为恶意软件隐蔽通信的主要载体，本文梳理了命令控制、数据渗出、隧道传输三类典型滥用手法，并对比现有检测与阻断手段的适用边界。
**C&C 通信利用域名生成算法规避封锁**
恶意软件感染设备后需与远程主控建立联系，静态 IP 或长期域名易被提取加入封锁列表。攻击者改用域名生成算法（DGA）按预设规则随机生成极短生命周期域名，受控设备按相同算法轮询查询，直至命中当前激活域名获取主控 IP。通信内容常嵌入查询名前缀或 TXT 记录响应中，以绕过中间设备的内容审查。原文未给出具体 DGA 变种数量或查询频率数据。
**数据渗出将敏感信息编码进 DNS 事务**
建立 C&C 通道后，受控设备窃取本地或凭证访问的远程关键文件，将数据分片编码为子域名标签或资源记录字段（如 TXT、NULL、CNAME），通过递归查询向权威服务器传出。单次查询承载量受限于标签长度（63 字节）与报文上限（512 字节或 EDNS0 扩展后的 4096 字节），大量数据需拆分为成百上千次查询。原文未给出典型渗出速率或编码方案对比数据。
**DNS 隧道构建双向虚拟通道绕过防火墙**
攻击者在控制的权威域名下部署隧道服务端，客户端将任意协议流量（HTTP、SSH、RDP 等）封装进 DNS 查询与响应，实现防火墙默认放行的双向通道。隧道工具常采用压缩、加密、分片重组机制，流量特征接近合法递归解析。检测依赖熵值分析、查询频率异常、NXDOMAIN 比率等统计特征，但高隐蔽模式下误报与漏报并存。原文未给出具体隧道工具名称或实测吞吐量。
对运维与网络工程师而言，理解 DNS 滥用的三种核心模式是部署分层防御的前提：递归层面启用 RPZ 与 DGA 实时阻断，权威层面监控异常熵值与高频 NXDOMAIN，边界层面结合流量基线识别隧道特征。仅依赖静态封锁已失效，需将 DNS 流量纳入持续行为分析体系。
原文: APNIC Blog（2022-02-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog