| name | domain-analysis |
| description | 对域名进行综合威胁分析，包括 WHOIS 查询、域名年龄风险评估、DNS 记录检查、DGA 检测、同形字攻击识别、CDN 检测和 ICP 备案查询。作为 WHOIS/域名年龄的权威来源，url-analysis 等技能应调用本技能获取域名注册信息。当用户要求分析域名安全性、查询域名注册信息、检测可疑域名或评估钓鱼风险时使用此技能。
|
| metadata | {"version":"2.1.0","builtin":true} |
域名威胁分析技能
对域名进行威胁情报分析，支持快速分析和深度分析两种模式。
模式选择
用户输入域名
│
├─ 默认执行快速分析
│
└─ 深度分析（用户主动要求时执行）：
- 用户明确要求（"深度分析"、"全面分析"）
- 发现高风险域名，需进一步确认
依赖要求
MCP 服务:
| MCP | 工具 | 用途 |
|---|
| cybersec-cloud | cybersec_cloud_mcp_risk_insight | 多源威胁情报聚合 |
本地脚本:
| 脚本 | 用途 |
|---|
| domain_validate.py | 域名格式验证和分类 |
| domain_whois.py | WHOIS 查询、域名年龄分析 |
快速分析
适用场景: 日常排查、初次研判
目标耗时: <5s
Phase 1: 格式验证
bash: python <SKILL_DIR>/scripts/domain_validate.py <domain>
输出：域名格式、IDN 解码、分类
Phase 2: WHOIS 查询
bash: python <SKILL_DIR>/scripts/domain_whois.py <domain>
返回：注册商、注册日期、过期日期、域名年龄、注册人信息
域名年龄风险评分：
| 域名年龄 | 分值 | 说明 |
|---|
| < 7 天 | +30 | 极高风险，很可能是恶意域名 |
| 7-30 天 | +20 | 高风险 |
| 30-90 天 | +10 | 中风险 |
| 90-180 天 | +5 | 较低风险 |
| > 180 天 | 0 | 相对可信 |
Phase 3: 威胁情报
工具: cybersec_cloud_mcp_risk_insight
参数: indicator="<domain>", kind="domain"
返回：多源威胁标签、检测率、关联样本
Phase 3.5: 风险评分
⚠️ 必须执行。快速分析虽然只做 3 个阶段，但必须基于以下规则给出明确分数，不能只给主观高/中/低判断。
评分规则：
| 指标 | 分值 | 说明 |
|---|
| 域名年龄 < 7 天 | +30 | 极高风险，新注册恶意域名常见 |
| 域名年龄 7-30 天 | +20 | 高风险 |
| 域名年龄 30-90 天 | +10 | 中风险 |
| 域名年龄 90-180 天 | +5 | 较低风险 |
| WHOIS 最终查询失败/缺失 | +10 | 仅在 WHOIS 最终无结果时计分，瞬时超时但重试成功不计分 |
| WHOIS 隐私保护 | +5 | 单独出现时仅弱信号，需结合其他指标 |
| 高风险 TLD | +15 | 参考 references/high-risk-tlds.md |
| 多源标记恶意（≥3 源） | +40 | 多个情报源确认恶意 |
| 多源标记恶意（2 源） | +30 | 2 个情报源确认恶意 |
| 单源标记恶意 | +20 | 仅 1 个情报源标记 |
| 命中 C2 标签 | +30 | 命令控制基础设施 |
| 命中 phishing 标签 | +25 | 钓鱼域名 |
| 命中 malware 标签 | +25 | 恶意软件相关域名 |
| 命中 spam 标签 | +15 | 垃圾邮件或投递相关 |
| 恶意样本关联 > 10 | +25 | 大量样本通信/投递 |
| 恶意样本关联 1-10 | +15 | 少量样本关联 |
快速分析风险等级：
| 分数 | 等级 | 建议 |
|---|
| 0-20 | Low | 持续监控 |
| 21-40 | Medium | 建议补充深度分析 |
| 41-60 | High | 建议尽快深度分析确认 |
| 61-100 | Critical | 优先处置/阻断 |
输出要求：
- 必须在最终报告中给出总分
- 必须明确列出主要加分项（如域名年龄、情报源命中、标签命中）
- 如果某项未获取到数据，写明“未计分”，不要臆造分数
Phase 4: 输出报告
⚠️ 必须执行，按以下模板输出（5 章节）：
# [!] 域名威胁分析报告
**威胁等级**: [HIGH] (评分: 45)
**分析时间**: YYYY-MM-DD HH:MM
**分析模式**: 快速分析
---
## 1. 域名基本信息
- **域名**: <domain>
- **TLD**: .<tld>
- **注册商**: <registrar>
- **注册日期**: YYYY-MM-DD
- **域名年龄**: X 天
- **注册人信息**: <info> 或 隐私保护
---
## 2. 威胁情报
| 来源 | 判定 | 标签 |
|------|------|------|
| <来源名> | malicious | c2, phishing |
**检测率**: X/X 引擎标记恶意
**情报时效**: 最新活动 YYYY-MM-DD (<状态>)
---
## 3. 结论与处置建议
**威胁类型**: 钓鱼域名 / C2 域名 / 恶意域名
**风险等级**: 高
**评分明细**:
- **域名年龄**: +20
- **情报源命中**: +20
- **标签命中（phishing/c2/malware 等）**: +5
- **总分**: 45
**处置建议**:
1. [+] 持续监控
2. [*] 建议深度分析进一步确认
3. [!] 如确认恶意，阻断该域名解析
---
## 4. IOC 汇总
**域名**: <domain>
**解析 IP**: <ip> 或 未获取
**关联 URL**: <list> 或 未发现
---
## 5. 分析局限性
未进行深度扫描，缺少如下信息：
- 未进行 DGA 检测
- 未进行同形字检测
- 未进行 CDN 检测
- 未查询子域名历史
快速分析强约束
快速分析仅允许执行以下 3 类操作：
- 域名格式验证
- WHOIS 查询
- 威胁情报查询
完成上述 3 步后，必须立即输出快速分析报告并结束。
禁止在快速分析中继续调用以下能力：
- ICP 查询
- DNS 历史查询
- 子域名发现
- 同 IP 域名分析
- CDN 检测
- DGA 检测
- 同形字检测
- 解析 IP 的地理归属扩展分析
- 任何额外的 cyberspace-search 扩展侦察
除非用户明确要求“深度分析”，否则不得进入深度分析阶段。
快速分析输出要求
深度分析
适用场景: 全面评估、入侵分析、确认为威胁时
Phase 5: ICP 备案查询
⚠️ ICP 备案是针对**注册域名（主域名）**进行的，子域名无需单独备案。
工具: cybersec_cloud_mcp_intel_icp_lookup
参数: domain="<注册域名>"
Phase 6: DGA 检测
bash: python <SKILL_DIR>/scripts/domain_dga.py <domain>
术语：命中用"疑似 DGA 域名"，未命中用"未发现 DGA 特征"
Phase 7: 同形字攻击检测
bash: python <SKILL_DIR>/scripts/homograph_detector.py <domain>
Phase 7.5: 动态 DNS 服务检测
⚠️ 仅在深度分析中补充执行，用于识别常见 DDNS/C2 托管特征，不纳入快速分析。
检测目标：识别域名是否命中高风险或中风险动态 DNS 服务商。
高风险动态 DNS 服务：
duckdns.org - 常见于 AsyncRAT、RemCos、NjRATydns.eu - 常见于 Xworm、AgentTeslalinkpc.net - 常见于 NjRAT、RemCosddns.net - 常见于多种 RATno-ip.org - 常见于僵尸网络didns.ru - 常见于 RemCos
中风险动态 DNS 服务：
hopto.org - 常见于 RATzapto.org - 常见于 RAT
结果写法：
- 命中时：
命中高风险动态 DNS 服务 (<服务商>) / 命中中风险动态 DNS 服务 (<服务商>)
- 未命中时：
未发现动态 DNS 托管特征
Phase 8: CDN 检测
⚠️ 必须在分析 DNS 历史之前执行，避免将 CDN 正常行为误判为威胁。
bash: python <SKILL_DIR>/scripts/cdn_detector.py <ip>
结果解读：
| 结果 | 风险变化 |
|---|
| CDN 域名 | 风险 -15（GeoDNS 负载均衡，正常） |
| 非 CDN 域名 | 风险 +15（可能是 Fast-Flux） |
Phase 9: 子域名发现
工具: cybersec_cloud_mcp_cyberspace-search
参数: query="hostname=\"*.<domain>\"", limit=20
Phase 10: 同 IP 域名分析
工具: cybersec_cloud_mcp_cyberspace-search
参数: query="ip=\"<解析IP>\"", limit=10
| 同 IP 域名数 | 判断 |
|---|
| < 10 | 正常 |
| 10-100 | 可疑 |
| > 100 | 高度可疑（可能防弹托管） |
Phase 11: DNS 安全配置检测
dig TXT <domain> | grep "v=spf1"
dig TXT _dmarc.<domain>
Phase 11.5: 深度风险评估
⚠️ 必须执行。深度分析在快速分析总分基础上，继续叠加以下增量评分，不能只复述检测结果。
深度分析增量评分：
| 指标 | 分值 | 说明 |
|---|
| 检测到 DGA 特征 | +35 | 疑似算法生成域名 |
| 检测到同形字攻击 | +30 | 疑似品牌仿冒或混淆字符 |
| 命中高风险动态 DNS 服务 | +20 | 常见于 RAT/C2 托管基础设施 |
| 命中中风险动态 DNS 服务 | +10 | 需结合其他信号进一步确认 |
| 非 CDN 且存在 Fast-Flux 特征 | +15 | 解析行为异常 |
| CDN 命中 | -15 | GeoDNS/负载均衡等正常行为降分 |
| 同 IP 域名 10-100 个（仅非 CDN） | +10 | 仅在解析 IP 未命中 CDN 时，作为可疑共享托管信号 |
| 同 IP 域名 > 100 个（仅非 CDN） | +20 | 仅在解析 IP 未命中 CDN 时，作为高度可疑托管信号 |
| 发现大量高风险子域名（≥10） | +10 | 可疑资产扩散 |
| 未配置 SPF | +5 | 邮件滥用风险上升 |
| 未配置 DMARC | +5 | 邮件仿冒风险上升 |
| SPF 过于宽松（+all） | +10 | 几乎无防护作用 |
深度分析风险等级：
| 分数 | 等级 | 建议 |
|---|
| 0-20 | Low | 持续监控 |
| 21-40 | Medium | 观察并保留情报 |
| 41-60 | High | 建议重点核查 |
| 61-100 | Critical | 优先阻断并开展排查 |
深度分析输出要求：
- 先给出快速分析基础分，再给出深度分析增量分
- 必须明确总分 = 基础分 + 增量分
- 如果某个深度检查未执行或执行失败，写明“未计分”或“未执行”，不要默认按 0 分伪装为已检测
Phase 12: 输出报告
报告输出约束：
- “解析 IP”仅填写本次实际拿到的解析结果；未获取到时明确写“未获取”
- “关联域名”仅填写同 IP 域名、子域名发现或情报源明确返回的关联域名；不要把当前分析域名重复写入“关联域名”
- “关联 URL”仅在情报源或关联分析返回具体 URL 时填写；未返回具体 URL 时写“未发现”
- “ICP 备案”仅针对注册域名（主域名）填写，不对子域名单独臆造备案信息
- 如果某项检查未执行、执行失败或结果缺失，必须明确写“未执行”“查询失败”或“未返回”，不要默认写成阴性结论
⚠️ 必须执行，按以下模板输出（8 章节）：
# [!] 域名威胁分析报告
**威胁等级**: [HIGH] (评分: 45)
**分析时间**: YYYY-MM-DD HH:MM
**分析模式**: 深度分析
---
## 1. 域名基本信息
- **域名**: <domain>
- **TLD**: .<tld>
- **注册商**: <registrar>
- **注册日期**: YYYY-MM-DD
- **域名年龄**: X 天
- **注册人信息**: <info> 或 隐私保护
- **ICP 备案**: 有/无
---
## 2. 威胁情报
| 来源 | 判定 | 标签 | 首次发现 | 最后活跃 |
|------|------|------|----------|----------|
| <来源名> | malicious | c2, phishing | YYYY-MM-DD | YYYY-MM-DD |
**检测率**: X/X 引擎标记恶意
**情报时效**: 最新活动 YYYY-MM-DD (<状态>)
---
## 3. 特殊检测
**DGA 检测**: 未发现 DGA 特征 / 疑似 DGA 域名
**同形字检测**: 未发现同形字攻击 / 疑似仿冒 "<品牌>"
**动态 DNS 检测**: 未发现动态 DNS 托管特征 / 命中高风险动态 DNS 服务 (<服务商>) / 命中中风险动态 DNS 服务 (<服务商>)
**CDN 检测**: 是 / 否
---
## 4. 关联分析
**解析 IP**: <ip>
**同 IP 域名**: X 个
**子域名发现**: X 个
---
## 5. DNS 安全配置
| 记录 | 状态 |
|------|------|
| SPF | 已配置 / 未配置 |
| DMARC | 已配置 / 未配置 |
---
## 6. 结论与处置建议
**威胁类型**: 钓鱼域名 / C2 域名 / 恶意域名
**活跃状态**: 活跃 / 不活跃
**风险等级**: 高
**评分明细**:
- **快速分析基础分**: 30
- **DGA / 同形字 / CDN / 关联资产增量分**: +15
- **DNS 安全配置增量分**: +0
- **总分**: 45
**处置建议**:
1. [x] 立即阻断 - DNS 黑名单/防火墙规则
2. [x] 内部排查 - 检查是否有解析记录
3. [x] 情报共享 - 上报威胁情报平台
---
## 7. 分析局限性
由 LLM 根据实际分析情况动态填写，例如：
- WHOIS 隐私保护，无法获取注册人信息
- 部分 DNS 记录查询超时
---
## 8. IOC 汇总
**域名**: <domain>
**解析 IP**: <ip>
**关联域名**: <list>
**关联 URL**: <list>
工具命令速查
| 任务 | 命令 |
|---|
| 域名验证 | python <SKILL_DIR>/scripts/domain_validate.py <domain> |
| WHOIS 查询 | python <SKILL_DIR>/scripts/domain_whois.py <domain> |
| DGA 检测 | python <SKILL_DIR>/scripts/domain_dga.py <domain> |
| 同形字检测 | python <SKILL_DIR>/scripts/homograph_detector.py <domain> |
| CDN 检测 | python <SKILL_DIR>/scripts/cdn_detector.py <ip> |
关联技能调用
| 发现的 IOC | 调用技能 |
|---|
| 解析 IP | ip-analysis |
| 关联 URL | url-analysis |
| 子域名 | 本技能递归分析（深度分析） |
上游技能（可能调用本技能）：
phishing-analysis - 分析邮件中的域名url-analysis - 分析 URL 中的域名traffic-analysis - 分析流量中的域名
参考文件
