DNS 隧道流量特征

DNS 隧道把数据塞进查询名：超长子域、高频 TXT/NULL 记录与固定编码前缀是常见可观察特征。

用途	识别经 DNS 的数据通道
观察点	查询名长度 / 记录类型分布 / 单域高频查询

长度分布

awk '{print length($9)}' dns.log | sort -n | uniq -c | tail
zeek-cut query qtype id.orig_h < dns.log | awk '{print length($1)}' | sort -n | tail

正常 CDN 域名也可能很长，要结合熵值、频率与目的权威服务器。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌