메뉴
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill detecting-exfiltration-over-dns-with-zeek명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
SKILL.md 표시 중
SOC 직업 분류 기준
| name | detecting-exfiltration-over-dns-with-zeek |
| description | 通过分析 Zeek dns.log 中的高熵值子域名和异常查询模式，检测基于 DNS 的数据渗出 |
| domain | cybersecurity |
| subdomain | network-security |
| tags | ["dns-exfiltration","zeek","entropy-analysis","threat-hunting"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
DNS 隧道与渗出（DNS tunneling/exfiltration）是攻击者绕过防火墙和 DLP（数据泄露防护）控制的技术，通过将窃取的数据编码到 DNS 查询的子域名中来实现。合法 DNS 查询的熵值和长度具有可预测的规律，而渗出查询的编码数据具有高香农熵（Shannon entropy）、异常长的子域名标签，以及每个父域名下大量唯一子域名。
本技能分析 Zeek dns.log 文件（TSV 格式）以检测渗出指标。智能体对每个子域名组件计算香农熵，识别超过 63 字符 DNS 标签限制的查询，统计每个父域名的唯一子域名数量，并标记超过可配置阈值的域名。这些技术可检测 dnscat2、iodine、dns2tcp 以及自定义 DNS 隧道工具。
解析 Zeek dns.log 头部：读取 TSV 文件，提取 #fields 头部行，确定 ts、id.orig_h、query、qtype_name、rcode_name 和 answers 的列位置。
提取并分解查询：对每个 DNS 查询，将 FQDN 拆分为子域名标签和父域名。跳过已知安全域名和内部区域的查询。
计算香农熵：计算每个子域名标签的信息熵。合法子域名的熵值通常低于 3.5，而编码/加密数据的熵值高于 4.0。
检测长标签：标记超过 52 字符的 DNS 标签（接近 63 字符上限）。长标签是数据隧道的强烈指标。
统计每域名唯一子域名数量：跟踪每个父域名收到的不同子域名数量。在日志窗口内超过 50 个唯一子域名的域名为可疑域名。
识别查询量异常：按源 IP 和域名计算每分钟查询数。渗出工具会产生持续的高频查询流，不同于正常的浏览行为。
评分并排名域名：将熵值、标签长度、唯一性数量和查询量合并为综合风险评分。按评分对域名排名并输出最可疑的域名。
生成检测报告：输出包含标记域名、证据指标、来源 IP 及建议响应操作的 JSON 报告。
{
"analysis_summary": {
"total_queries_analyzed": 145832,
"unique_domains": 3421,
"flagged_domains": 3,
"entropy_threshold": 3.5
},
"flagged_domains": [
{
"domain": "data.evil-c2.com",
"unique_subdomains": 892,
"avg_entropy": 4.72,
"max_label_length": 61,
"source_ips": ["10.0.1.45"],
"risk_score": 9.4,
"indicators": ["high_entropy", "long_labels"