performing-dns-tunneling-detection

执行 DNS 隧道检测

何时使用

• 在执行涉及 DNS 隧道检测的安全评估时
• 在针对相关安全事件遵循事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 在通过动手测试验证安全控制措施时

前置条件

• 熟悉安全运营概念和工具
• 拥有可安全执行的测试或实验环境访问权限
• 已安装所需依赖项的 Python 3.8+
• 对任何测试活动拥有适当授权

操作说明

使用熵分析和对查询名称特征的统计方法，分析 DNS 流量中是否存在 DNS 隧道指标。

import math
from collections import Counter

def shannon_entropy(data):
    if not data:
        return 0
    counter = Counter(data)
    length = len(data)
    return -sum((c/length) * math.log2(c/length) for c in counter.values())

# Legitimate domain: low entropy (~3.0-3.5)
print(shannon_entropy("www.google.com"))
# DNS tunnel: high entropy (~4.0-5.0)
print(shannon_entropy("aGVsbG8gd29ybGQ.tunnel.example.com"))

关键检测指标：

1. 查询名称中的 Shannon 熵较高（子域标签大于 3.5）
2. 查询名称异常长（大于 50 个字符）
3. 针对单个域名的 TXT 记录请求量高
4. 每个父域名的唯一子域名数量高
5. 标签中的字符分布非标准

示例

from scapy.all import rdpcap, DNS, DNSQR
packets = rdpcap("dns_traffic.pcap")
for pkt in packets:
    if pkt.haslayer(DNSQR):
        query = pkt[DNSQR].qname.decode()
        entropy = shannon_entropy(query)
        if entropy > 4.0:
            print(f"Suspicious: {query} (entropy={entropy:.2f})")