killvxk
killvxk/cybersecurity-skills-zh
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill detecting-exfiltration-over-dns-with-zeek命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
正在显示 SKILL.md
基于 SOC 职业分类
| name | detecting-exfiltration-over-dns-with-zeek |
| description | 通过分析 Zeek dns.log 中的高熵值子域名和异常查询模式，检测基于 DNS 的数据渗出 |
| domain | cybersecurity |
| subdomain | network-security |
| tags | ["dns-exfiltration","zeek","entropy-analysis","threat-hunting"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
DNS 隧道与渗出（DNS tunneling/exfiltration）是攻击者绕过防火墙和 DLP（数据泄露防护）控制的技术，通过将窃取的数据编码到 DNS 查询的子域名中来实现。合法 DNS 查询的熵值和长度具有可预测的规律，而渗出查询的编码数据具有高香农熵（Shannon entropy）、异常长的子域名标签，以及每个父域名下大量唯一子域名。
本技能分析 Zeek dns.log 文件（TSV 格式）以检测渗出指标。智能体对每个子域名组件计算香农熵，识别超过 63 字符 DNS 标签限制的查询，统计每个父域名的唯一子域名数量，并标记超过可配置阈值的域名。这些技术可检测 dnscat2、iodine、dns2tcp 以及自定义 DNS 隧道工具。
解析 Zeek dns.log 头部：读取 TSV 文件，提取 #fields 头部行，确定 ts、id.orig_h、query、qtype_name、rcode_name 和 answers 的列位置。
提取并分解查询：对每个 DNS 查询，将 FQDN 拆分为子域名标签和父域名。跳过已知安全域名和内部区域的查询。
计算香农熵：计算每个子域名标签的信息熵。合法子域名的熵值通常低于 3.5，而编码/加密数据的熵值高于 4.0。
检测长标签：标记超过 52 字符的 DNS 标签（接近 63 字符上限）。长标签是数据隧道的强烈指标。
统计每域名唯一子域名数量：跟踪每个父域名收到的不同子域名数量。在日志窗口内超过 50 个唯一子域名的域名为可疑域名。
识别查询量异常：按源 IP 和域名计算每分钟查询数。渗出工具会产生持续的高频查询流，不同于正常的浏览行为。
评分并排名域名：将熵值、标签长度、唯一性数量和查询量合并为综合风险评分。按评分对域名排名并输出最可疑的域名。
生成检测报告：输出包含标记域名、证据指标、来源 IP 及建议响应操作的 JSON 报告。
{
"analysis_summary": {
"total_queries_analyzed": 145832,
"unique_domains": 3421,
"flagged_domains": 3,
"entropy_threshold": 3.5
},
"flagged_domains": [
{
"domain": "data.evil-c2.com",
"unique_subdomains": 892,
"avg_entropy": 4.72,
"max_label_length": 61,
"source_ips": ["10.0.1.45"],
"risk_score": 9.4,
"indicators": ["high_entropy", "long_labels"