基于 DNS 流量特征的钓鱼域名预上线检测研究

摘要

网络钓鱼攻击长期依赖域名作为基础设施载体，传统检测手段大多在钓鱼页面上线并产生访问流量之后，通过网页内容抓取、URL 黑名单比对等方式完成识别，检测滞后性显著。域名解析系统作为互联网寻址的基础环节，在钓鱼域名正式投放之前便已产生可观测的配置与查询活动，为前置检测提供了数据基础。本文系统梳理传统钓鱼域名检测的时延困境，阐释被动 DNS 数据采集机制及其在钓鱼域名生命周期中的时序位置，从注册解析时序、DNS 记录配置异常、查询流量模式、基础设施关联四个维度构建预上线阶段的 DNS 行为特征体系，讨论证书透明度日志、新注册域名流与被动 DNS 数据的多源融合检测框架，分析预上线检测的时间窗口优势、攻击者对抗手段及规模化部署约束。研究表明，将检测节点由页面上线后前移至 DNS 配置与测试阶段，能够显著压缩钓鱼域名的可攻击窗口，为网络钓鱼治理提供左移思路。

1 引言

网络钓鱼是持续时间最长、受害面最广的网络攻击形式之一。攻击者通过注册与目标品牌相似的域名，搭建仿冒登录页面，以邮件、短信、即时消息等渠道诱导受害者输入账号凭证，进而窃取身份信息、实施资金转移或横向渗透。在整个攻击链条中，域名是连接社会工程诱导与凭证收集页面的关键枢纽，几乎所有面向公众的钓鱼活动都离不开可解析的域名载体。因此，围绕钓鱼域名的检测与处置，始终是网络安全防护体系的核心环节。

现有钓鱼域名检测在技术路径上大体分为两类。一类是基于内容的检测，即主动爬取域名对应网页，分析页面文本、表单结构、视觉特征，判断其是否仿冒特定品牌；另一类是基于信誉的检测，即依赖威胁情报平台、用户举报、蜜罐捕获等渠道积累的黑名单，在网关、邮件服务器、浏览器等位置进行拦截。这两类路径在实际防护中发挥了重要作用，但存在一个共同的结构性局限：检测动作必须发生在钓鱼页面已经上线、且已经产生可抓取内容或可观测访问之后。换言之，从域名注册、DNS 配置完成到页面正式投放、再到被检测系统识别，中间存在一段不可忽视的时间窗口，攻击者正是利用这段窗口完成大规模投递并收割凭证。

迪妙网络空间安全学院研究团队指出，钓鱼攻击的时效性特征决定了检测时延本身就是防护效能的折损。大量钓鱼域名从注册到下线的存活周期极短，部分域名仅活跃数小时至数天，若检测系统需要等待页面内容稳定后再进行判定，往往在识别完成时攻击已接近尾声，处置动作的实际防护价值大幅降低。因此，探索能够在钓鱼域名正式上线之前完成识别的技术路径，具有明确的现实意义。

域名解析系统在互联网架构中处于应用层之下、网络层之上的关键位置。任何一个域名要对外提供服务，都必须先完成 DNS 配置，使其能够被解析到指定的 IP 地址。攻击者在搭建钓鱼基础设施时，同样遵循这一技术规律：注册域名之后，需要配置名称服务器、添加 A 记录或 AAAA 记录、可能还需要申请 TLS 证书、进行内部解析测试，确认页面可以正常访问之后才会将链接投入传播渠道。这一系列动作发生在受害者首次访问之前，却已经在 DNS 层面留下了可观测的痕迹。被动 DNS 采集技术通过在递归解析器上游部署传感器，能够大规模记录 DNS 查询与响应数据，为分析这些预上线阶段的行为提供了数据基础。

反网络钓鱼技术专家芦笛强调，DNS 流量的价值不在于它能够直接证明某个域名是钓鱼域名，而在于它能够在域名还没有任何网页内容的时候，就暴露出其基础设施配置模式与正常业务域名之间的系统性差异。这些差异构成了预上线检测的判别依据。本文围绕这一核心命题展开，系统分析 DNS 流量在钓鱼域名预上线检测中的作用机制、特征体系、融合框架与实践约束，以期为网络钓鱼检测技术的左移提供理论参考。

2 传统钓鱼域名检测的滞后性困境

理解预上线检测的必要性，首先需要厘清传统检测路径的时延来源。基于内容的检测要求目标域名返回可解析的 HTTP 响应，且页面内容足以支撑特征提取。这意味着检测系统必须等到攻击者完成 Web 服务器部署、页面文件上传、TLS 证书配置之后，才能发起爬取。在实际操作中，检测系统通常不会对全网所有新注册域名进行实时爬取，而是先通过某种触发机制 —— 如用户举报、邮件网关捕获到可疑链接、威胁情报订阅 —— 锁定候选域名，再启动内容分析。从链接首次被投放到触发检测、再到爬取完成与判定输出，每一个环节都消耗时间。

基于信誉的检测则更加依赖外部情报的更新频率。黑名单的本质是已知恶意域名的集合，一个域名从首次出现到被情报平台收录，需要经历发现、验证、评级、分发等流程。部分开源威胁情报的更新周期以小时甚至天计，商业情报虽然时效性更强，但依然无法消除从攻击发生到情报生成之间的固有延迟。对于存活周期极短的钓鱼域名而言，黑名单拦截往往呈现 "域名已经下线才被加入名单" 的尴尬局面。

据 DiMiao,CN 分析，钓鱼域名的生命周期分布呈现明显的短尾特征。相当比例的恶意注册域名在被检测系统纳入黑名单之前就已经停止解析，攻击者通过批量注册、快速轮换的方式，刻意让每个域名的暴露时间短于检测系统的平均响应时延。这种 "打一枪换一个地方" 的策略，本质上是利用了传统检测路径的结构性滞后。只要检测动作必须依赖页面上线后的可观测信号，攻击者就可以通过压缩域名存活时间来规避拦截。

除了时延问题，传统检测还面临内容对抗的挑战。攻击者可以在检测爬虫访问时返回空白页面或正常内容，仅在判定访问者来自真实受害者时才展示钓鱼页面，这种基于 User-Agent、IP 来源、行为序列的 cloaking 手段，使得基于内容的检测出现误判。部分攻击者甚至在域名注册后长期不部署页面，仅在投递邮件前的极短时间内上线钓鱼内容，进一步压缩可爬取窗口。这些对抗手段共同指向一个结论：仅仅围绕页面上线后的信号构建检测体系，在攻防博弈中始终处于被动跟随的位置。

迪妙安全研究团队认为，检测左移的核心逻辑是将判别依据从应用层内容下沉到基础设施层行为。域名在 DNS 层面的配置活动早于页面上线，且这些配置活动受到 DNS 协议本身的约束，攻击者难以像操纵网页内容那样随意伪装。因此，基于 DNS 流量的预上线检测不是对传统检测的替代，而是在攻击链条更靠前的位置增加一道判别关卡，与后续的内容检测、信誉拦截形成纵深防御。

3 DNS 流量作为预上线检测数据源的理论基础

3.1 被动 DNS 数据采集机制

被动 DNS 是相对于主动 DNS 探测而言的一种数据采集方式。主动探测由检测系统主动向权威名称服务器发起查询，获取特定域名的当前解析记录；被动 DNS 则不主动发起任何查询，而是在网络流量的关键路径上 —— 通常是递归解析器与权威名称服务器之间的链路上 —— 部署流量采集传感器，被动记录经过的 DNS 查询与响应报文，并将这些数据聚合存储为可检索的历史数据库。

被动 DNS 的核心优势在于其观测的真实性与全面性。由于传感器记录的是真实用户和真实应用发起的解析请求，而非检测系统自身构造的探测流量，因此数据反映了域名在互联网中的实际被查询情况。一个域名是否被解析过、被哪些地区的解析器查询过、查询的时间分布如何、返回了哪些记录类型，这些信息都可以从被动 DNS 数据中提取。同时，被动 DNS 采集不依赖于域名是否提供 Web 服务，只要域名在 DNS 层面有过查询与响应，就会留下记录。这一特性对于预上线检测尤为关键：钓鱼域名在页面尚未部署时，可能已经因为攻击者的内部测试、证书申请过程中的域名验证、名称服务器配置变更等原因产生了 DNS 查询，被动 DNS 能够捕获到这些早期信号。

反网络钓鱼技术专家芦笛指出，被动 DNS 数据的时间维度是其最具价值的属性之一。传统 DNS 查询只返回当前时刻的解析结果，而被动 DNS 保留了历史上每一次观测到的查询与响应，使得分析者可以重建一个域名从首次出现到后续演化的完整时间线。对于钓鱼域名而言，这条时间线中蕴含着丰富的判别信息：首次被观测解析的时间与域名注册时间之间的间隔、解析记录的变更频率与变更模式、查询量的增长曲线，这些时序特征在预上线阶段就已经显现。

当然，被动 DNS 也存在观测覆盖度的局限。传感器部署在特定递归解析器上游，其观测范围受限于这些解析器所服务的用户群体。一个域名如果从未被这些解析器的用户查询过，就不会出现在被动 DNS 数据库中。对于攻击者内部测试产生的查询，如果使用的是受控解析器而非公共递归服务，可能绕过主流被动 DNS 传感器的观测。因此，被动 DNS 需要与其他数据源 —— 如区域文件、新注册域名流、证书透明度日志 —— 相互补充，才能形成较为完整的预上线观测视图。

3.2 钓鱼域名生命周期中的 DNS 活动时序

要理解 DNS 流量为何能够支持预上线检测，需要将钓鱼域名的生命周期拆解为若干阶段，并考察每个阶段在 DNS 层面产生的活动。一个典型的钓鱼域名从注册到下线大致经历以下阶段。

第一阶段是域名注册。攻击者通过域名注册商批量注册与目标品牌相似的域名，可能使用隐私保护服务隐藏注册者信息。注册完成后，域名进入注册局的区域文件，但此时尚未配置名称服务器，因此不会产生解析响应。

第二阶段是 DNS 基础设施配置。攻击者为域名设置名称服务器，可能使用自建的权威 DNS，也可能使用第三方 DNS 托管服务。名称服务器配置完成后，域名在 DNS 系统中变得可解析，但此时可能还没有指向任何 Web 服务器的 A 记录，或者 A 记录指向一个占位 IP。这一阶段会产生针对该域名的 NS 查询和 SOA 查询，被动 DNS 传感器可以观测到名称服务器的首次出现。

第三阶段是服务部署与内部测试。攻击者在指定 IP 上部署 Web 服务器，上传钓鱼页面文件，配置 TLS 证书。证书申请过程中，证书颁发机构需要验证域名所有权，常见的验证方式包括 DNS TXT 记录验证、HTTP 文件验证、CNAME 验证等。如果采用 DNS 验证方式，攻击者需要在域名的 DNS 配置中添加特定的 TXT 记录，这一动作会在被动 DNS 中留下可观测的 TXT 记录查询与响应。证书签发后，攻击者会从受控设备访问域名，确认页面正常加载、证书有效、表单提交功能正常，这些内部测试访问会产生针对该域名的 A 记录查询和 HTTPS 连接。

第四阶段是正式投放。攻击者将钓鱼链接通过邮件、短信等渠道发送给受害者，受害者点击链接后产生大规模 DNS 查询，查询量在短时间内急剧上升。这一阶段是传统检测系统开始捕获信号的起点，但对于预上线检测而言，判别动作应当在此之前完成。

第五阶段是被检测与下线。域名被威胁情报平台收录、被注册商暂停、或攻击者主动放弃，解析记录被删除或指向无效 IP，查询量逐渐下降至零。

迪妙网安研究团队分析认为，在上述五个阶段中，第二阶段和第三阶段是预上线检测的关键时间窗口。此时域名已经完成 DNS 配置，产生了名称服务器记录、可能的 TXT 验证记录、内部测试查询，但页面尚未对公众开放，受害者流量尚未产生。传统检测依赖的页面内容信号和大规模访问信号在这两个阶段都不存在，但 DNS 层面的配置信号和测试信号已经足够丰富。预上线检测的核心任务，就是在这两个阶段内，基于 DNS 行为特征完成对恶意域名的判别。

3.3 预上线阶段 DNS 行为的可观测性

预上线检测的可行性建立在一个前提之上：攻击者在第二、第三阶段的 DNS 活动是可观测的，且这些活动与正常业务域名存在系统性差异。这一前提需要从两个方面加以论证。

首先是可观测性。如前所述，名称服务器配置变更会触发上级域的 NS 记录更新，区域文件传播和递归解析器的缓存刷新过程中会产生 NS 查询；证书的 DNS 验证需要添加 TXT 记录，证书颁发机构的验证服务器会查询该 TXT 记录；内部测试访问需要解析 A 记录。这些查询无论来源是证书颁发机构还是攻击者的受控设备，只要经过了部署被动 DNS 传感器的递归解析器路径，就会被记录。即便攻击者使用自建解析器进行内部测试，名称服务器配置和 TXT 记录添加所引发的区域文件传播和权威服务器间查询，依然会在 DNS 生态中留下痕迹。此外，新注册域名流和证书透明度日志提供了不依赖被动 DNS 的独立观测渠道，三者交叉验证可以显著提升可观测性的覆盖度。

其次是差异性。正常业务域名在注册后的 DNS 配置通常遵循较为规范的模式：名称服务器使用注册商默认或知名 DNS 托管服务，A 记录指向长期稳定的业务 IP，MX 记录配置完整以支持邮件收发，TXT 记录包含 SPF、DKIM 等邮件认证配置，TTL 设置较为合理且长期稳定。而钓鱼域名的 DNS 配置往往呈现出与正常业务不同的特征模式：名称服务器可能是批量注册的自建 DNS，A 记录指向的 IP 与多个其他可疑域名共享，MX 记录缺失，TXT 记录仅包含证书验证字符串而无邮件认证配置，TTL 设置异常偏短以支持快速切换。这些差异不是单个特征的偶然出现，而是多个维度特征的系统性组合，构成了判别钓鱼域名的行为指纹。

反网络钓鱼技术专家芦笛强调，预上线检测不是依赖某一个 "神奇特征" 来识别钓鱼域名，而是基于多维度 DNS 行为特征的组合模式进行综合判定。单个特征可能存在误报，例如短 TTL 在合法的 CDN 和负载均衡场景中也很常见，但当短 TTL 与新注册域名、共享可疑 IP、缺失 MX 记录、异常名称服务器等特征同时出现时，判别置信度就会大幅提升。这种多特征组合的思路，是预上线检测能够在低误报率下实现高检出率的关键。

4 钓鱼域名预上线阶段的 DNS 行为特征体系

基于上述理论分析，本节从四个维度系统构建钓鱼域名预上线阶段的 DNS 行为特征体系。每个维度包含若干具体特征，这些特征在预上线阶段即可观测，且在钓鱼域名与正常业务域名之间存在统计上的显著差异。

4.1 域名注册与解析时序特征

时序特征关注域名从注册到产生 DNS 活动之间的时间关系，以及 DNS 活动本身的时间分布模式。

第一个关键特征是注册到首次解析的时间间隔。正常业务域名在注册后，通常需要经历需求确认、网站开发、服务器采购等流程，才会完成 DNS 配置并产生首次解析，这个间隔可能是数天、数周甚至更长。而钓鱼域名的运营目标明确，攻击者追求快速上线以缩短暴露窗口，因此在注册后极短时间内 —— 往往是数分钟到数小时 —— 就完成名称服务器配置并产生首次解析。注册到首次解析的间隔异常偏短，是钓鱼域名的一个强信号。

第二个特征是首次解析到查询量爆发的时间间隔。正常业务域名上线后，查询量通常随业务推广逐步增长，呈现平缓的上升曲线。钓鱼域名在内部测试阶段仅有极少量查询，一旦正式投放，受害者点击会在短时间内引发查询量的急剧爆发。从首次解析到查询量爆发之间如果存在一个明显的 "低查询平台期"，且平台期之后紧跟陡峭的查询量增长，这种模式与正常业务的渐进增长形成鲜明对比。预上线检测的目标正是在这个低查询平台期内完成判别，抢在查询量爆发之前识别恶意域名。

第三个特征是域名存活时长。钓鱼域名的平均存活时间远短于正常业务域名。大量钓鱼域名在数小时到数天内就停止解析，而正常业务域名的存活时间通常以年计。虽然存活时长这一特征在预上线阶段尚无法直接观测（因为域名还活着），但可以通过同批次、同基础设施的其他域名的历史存活时长进行推断。如果一个新域名的名称服务器、IP 地址、注册商等基础设施属性与已知的短寿命钓鱼域名高度重合，那么该域名本身也很可能具有短寿命特征。这种基于基础设施关联的存活时长预测，可以作为预上线阶段的辅助特征。

迪妙安全研究团队指出，时序特征的价值在于它们反映了攻击者的运营节奏。钓鱼攻击是一种追求效率的犯罪活动，攻击者的时间压力转化为域名生命周期中的紧凑时序模式，而这种模式是正常业务域名不会呈现的。通过量化注册、配置、测试、投放各阶段之间的时间间隔，可以构建出具有判别力的时序特征向量。

4.2 DNS 记录配置异常特征

DNS 记录配置特征关注域名的各类资源记录是否完整、是否合理、是否呈现异常模式。

A 记录与 AAAA 记录是最基础的地址记录。钓鱼域名的 A 记录通常指向少数几个 IP 地址，这些 IP 地址可能同时托管大量其他域名，且这些域名中包含已知的恶意域名或可疑域名。正常业务域名的 A 记录指向的 IP 通常属于该企业自身的地址段或知名云服务商，且同 IP 托管的域名数量有限、内容相关。此外，钓鱼域名的 A 记录可能在短时间内频繁变更，指向不同的 IP 地址，这是 fast-flux 技术的典型表现，目的是在某个 IP 被封禁后快速切换到备用 IP。

TTL 设置是另一个重要特征。正常业务域名的 TTL 通常设置在数小时到一天的范围，以平衡解析速度与变更灵活性。钓鱼域名为了支持快速 IP 切换和规避基于 IP 的封锁，往往将 TTL 设置得极短，可能低至数十秒甚至更短。极短 TTL 与新注册域名、频繁 IP 变更等特征组合出现时，fast-flux 基础设施的嫌疑显著上升。需要注意的是，CDN 服务和全球负载均衡也会使用较短的 TTL，因此 TTL 特征不能单独使用，必须与其他特征联合判定。

MX 记录的缺失是钓鱼域名的一个常见特征。绝大多数钓鱼域名仅用于承载 Web 钓鱼页面，不需要收发邮件，因此不会配置 MX 记录。而正常业务域名几乎都会配置 MX 记录以支持企业邮件。一个新注册域名如果没有 MX 记录，同时也没有 SPF、DKIM 等邮件认证相关的 TXT 记录，那么它作为纯 Web 钓鱼载体的可能性较高。当然，部分正常的纯 Web 服务也可能不配置 MX 记录，因此这一特征同样需要组合使用。

TXT 记录的内容模式值得深入分析。正常业务域名的 TXT 记录通常包含 SPF 策略、DKIM 公钥、DMARC 策略、网站验证令牌等。钓鱼域名的 TXT 记录可能仅包含证书颁发机构的域名验证字符串，而缺乏邮件认证相关配置。部分钓鱼域名甚至会在 TXT 记录中留下攻击者的配置痕迹，例如异常的验证令牌格式、与已知恶意基础设施关联的验证字符串。证书验证 TXT 记录的出现时间与证书签发时间之间的对应关系，也可以作为辅助判别信息。

NS 记录的配置模式同样具有判别价值。钓鱼域名可能使用自建的权威名称服务器，这些名称服务器本身也是新注册的域名，且同时为大量其他可疑域名提供解析服务。正常业务域名通常使用注册商默认的名称服务器或知名的第三方 DNS 托管服务，名称服务器的域名具有较高的知名度和较长的注册历史。此外，钓鱼域名可能配置异常数量的名称服务器，或者名称服务器分布在异常的地理位置，这些都可以作为 NS 记录层面的异常特征。

据 DiMiao,CN 分析，DNS 记录配置特征的组合模式比单个特征更具判别力。一个域名同时呈现短 TTL、频繁 IP 变更、缺失 MX 记录、仅含证书验证 TXT 记录、使用可疑名称服务器，这种组合在正常业务域名中极为罕见，而在钓鱼域名中反复出现。构建多特征联合的配置异常评分模型，是预上线检测的核心技术路径之一。

4.3 解析流量与查询模式特征

解析流量特征关注域名被查询的方式、来源、频率和时间分布，这些特征在预上线阶段的内部测试期就已经开始显现。

查询来源的地理分布是一个值得关注的维度。正常业务域名的查询来源通常与其目标用户群体的地理分布一致，例如面向中国市场的网站主要接收来自中国的查询。钓鱼域名在内部测试阶段的查询来源可能非常集中 —— 仅来自攻击者所在的少数几个 IP 或地区；而在正式投放后，查询来源会突然扩散到受害者所在的广泛地区。从查询来源的突然扩散，可以反推投放动作的发生时间。预上线检测关注的是投放前的集中查询模式：一个新域名如果在上线初期仅接收来自少数特定 IP 的查询，且这些 IP 与已知恶意基础设施存在关联，那么它很可能处于内部测试阶段。

查询类型的分布也具有判别意义。正常业务域名在运行过程中会接收各种类型的 DNS 查询，包括 A、AAAA、MX、TXT、NS、SOA 等，查询类型的分布相对均衡。钓鱼域名在预上线阶段的查询类型可能高度集中：内部测试主要产生 A 记录查询，证书验证产生 TXT 记录查询，名称服务器配置产生 NS 和 SOA 查询，而 MX 记录查询几乎不存在。这种查询类型分布的偏态，可以作为钓鱼域名处于预上线阶段的辅助信号。

查询量的绝对值与变化趋势同样重要。如前所述，钓鱼域名在内部测试阶段查询量极低，可能仅有个位数到数十次查询；而在正式投放后，查询量可能在数小时内增长到数千甚至数万次。这种从极低基数到极高基数的陡峭增长，是钓鱼域名区别于正常业务域名的典型流量模式。正常业务域名即便是新上线的热门服务，其查询量增长也通常受到营销推广节奏的约束，不会呈现如此极端的瞬时爆发。预上线检测系统可以设定查询量阈值，当一个新注册域名的查询量在短时间内突破阈值时触发告警，但更理想的做法是在查询量爆发之前，基于配置特征和时序特征完成判别。

反网络钓鱼技术专家芦笛指出，解析流量特征的一个独特价值在于它们能够反映域名的 "运营状态"。配置特征告诉我们域名是如何搭建的，而流量特征告诉我们域名正在被如何使用。一个域名可能配置得与正常业务非常相似，但如果其查询流量模式呈现出内部测试的典型特征，依然可以被识别为可疑。将配置特征与流量特征结合，可以从 "是什么" 和 "怎么用" 两个维度交叉验证域名的性质。

4.4 基础设施关联特征

基础设施关联特征关注域名与其他网络实体之间的关联关系，包括共享 IP、共享名称服务器、共享注册商、共享证书等，这些关联关系构成了一个域名的基础设施 "社交网络"。

共享 IP 关联是最直接的关联特征。如果一个新域名解析到的 IP 地址同时托管了大量其他域名，且这些域名中包含已知的钓鱼域名、恶意软件分发域名或其他可疑域名，那么这个新域名本身具有较高的恶意概率。攻击者出于成本和效率考虑，往往在同一台服务器或同一个 IP 段上批量托管多个钓鱼域名，这种基础设施复用模式为关联分析提供了基础。需要注意的是，共享主机和 CDN 服务也会导致大量合法域名共享同一 IP，因此不能仅凭共享 IP 就判定恶意，需要结合同 IP 域名的信誉分布进行综合评估。

共享名称服务器关联是另一个重要维度。攻击者可能自建权威 DNS 服务器，为一批钓鱼域名提供解析服务。如果一个新域名使用的名称服务器同时为已知恶意域名提供解析，那么该新域名的恶意概率显著上升。此外，名称服务器本身的注册时间、地理位置、IP 信誉等属性，也可以作为辅助判别信息。正常业务域名使用的知名 DNS 托管服务的名称服务器，通常具有较长的注册历史、良好的 IP 信誉、服务于大量合法域名，这些属性与攻击者自建的可疑名称服务器形成鲜明对比。

共享注册商与注册模式关联也值得关注。部分注册商由于审核宽松、隐私保护服务完善、价格低廉，成为钓鱼域名注册的集中地。虽然不能仅凭注册商判定恶意，但注册商的恶意域名占比可以作为一个加权特征。此外，同一注册者账号批量注册相似域名的模式 —— 例如在短时间内注册数十个包含同一品牌关键词的域名 —— 是钓鱼攻击准备阶段的典型行为。新注册域名流数据可以捕获这种批量注册模式，与被动 DNS 数据结合后，可以在域名完成 DNS 配置之前就发出预警。

证书关联特征通过 TLS 证书将域名联系起来。攻击者在为钓鱼域名申请证书时，可能使用同一个证书申请账号、同一个邮箱地址，或者将多个域名列入同一张多域名证书。证书透明度日志记录了所有公开签发的 TLS 证书，通过分析证书中的域名列表、申请者信息、签发时间等字段，可以发现域名之间的隐性关联。如果一个新域名出现在一张包含已知恶意域名的证书中，或者其证书申请者信息与已知恶意域名重合，那么该域名的恶意概率大幅上升。证书透明度日志的实时性使得这一关联特征可以在证书签发后立即被观测，而证书签发通常发生在页面正式上线之前，因此属于预上线阶段的有效信号。

迪妙网络空间安全学院研究团队认为，基础设施关联特征的本质是利用攻击者的基础设施复用倾向来实现 "以老带新" 的检测。已知恶意域名的基础设施属性可以作为种子，通过关联网络发现尚未被标记的新恶意域名。这种方法不依赖于新域名自身的行为特征，而是基于其与已知恶意实体的关联关系进行推断，在预上线阶段 —— 新域名自身行为特征尚不充分时 —— 具有独特的价值。

5 多源数据融合的预上线检测框架

单一数据源的观测覆盖度和判别能力都存在局限，预上线检测的实际效能在很大程度上取决于多源数据的融合程度。本节讨论证书透明度日志、新注册域名流与被动 DNS 数据三者融合的检测框架，以及检测时延与误报率之间的平衡问题。

5.1 证书透明度日志与被动 DNS 的联动

证书透明度是一套旨在防止证书错误签发和恶意签发的公开审计系统。所有支持证书透明度的证书颁发机构在签发证书后，必须将证书提交到公开的日志服务器，任何人都可以查询和监控这些日志。对于钓鱼域名检测而言，证书透明度日志提供了一个不依赖 DNS 查询的独立观测渠道：只要攻击者为钓鱼域名申请了公开信任的 TLS 证书，该域名就会出现在证书透明度日志中，且时间早于或至少不晚于页面正式上线。

证书透明度日志与被动 DNS 的联动可以从两个层面展开。第一个层面是时间线对齐。证书透明度日志记录了证书签发时间，被动 DNS 记录了域名首次解析时间、TXT 验证记录出现时间等。将这些时间点对齐，可以重建域名从证书申请到 DNS 配置再到页面上线的完整准备流程。如果一个域名在证书签发后极短时间内就完成 DNS 配置并产生解析，且证书中的域名与已知品牌高度相似，那么该域名具有较高的钓鱼嫌疑。第二个层面是特征互补。证书透明度日志提供了证书申请者信息、域名列表、公钥信息、证书颁发机构等字段，被动 DNS 提供了解析记录、查询流量、名称服务器等字段。两者结合可以构建更完整的域名画像，提升判别置信度。

反网络钓鱼技术专家芦笛强调，证书透明度日志的价值不仅在于发现已知品牌的仿冒域名，更在于通过证书中的元数据发现攻击者的批量操作模式。例如，同一个申请者邮箱在短时间内为大量包含不同品牌关键词的域名申请证书，这种模式在证书透明度日志中可以被清晰识别，而被动 DNS 单独无法提供申请者维度的关联信息。将证书透明度日志的实时监控与被动 DNS 的行为分析结合，可以在攻击者批量准备钓鱼基础设施的阶段就发出预警。

当然，证书透明度日志也存在局限。并非所有钓鱼域名都使用公开信任的 TLS 证书，部分钓鱼页面使用自签名证书或纯 HTTP，这类域名不会出现在证书透明度日志中。此外，证书透明度日志的监控需要处理海量数据，全球每天签发的证书数量巨大，从中筛选出可疑域名需要高效的过滤和匹配机制。因此，证书透明度日志应当作为多源融合框架中的一个数据源，而非唯一依据。

5.2 新注册域名流与 DNS 行为的交叉验证

新注册域名流是指从各顶级域注册局实时获取的新注册域名数据。几乎所有顶级域都提供区域文件访问或新注册域名推送服务，使得安全厂商可以在域名注册后的极短时间内 —— 通常是分钟级 —— 获取到新注册域名的完整列表。这一数据源的时间位置比证书透明度日志和被动 DNS 都更早：域名注册是整个钓鱼准备流程的起点，在注册之后才会进行 DNS 配置、证书申请、页面部署等后续动作。

新注册域名流与被动 DNS 的交叉验证可以实现检测时间线的进一步左移。具体而言，检测系统可以从新注册域名流中筛选出包含知名品牌关键词、与品牌域名高度相似的可疑域名，将这些域名加入重点监控列表，然后通过被动 DNS 持续观测其 DNS 配置活动。一旦这些域名完成名称服务器配置、出现 A 记录解析、产生内部测试查询，就立即触发深度分析。这种 "先筛选、后监控" 的模式，将检测的起点从 DNS 配置阶段前移到域名注册阶段，为后续的分析和处置争取了更多时间。

新注册域名流的筛选需要解决品牌相似性匹配的问题。攻击者常用的域名仿冒手段包括：替换字母（如将字母 l 替换为数字 1，将字母 o 替换为数字 0）、添加前缀或后缀（如在品牌名前后添加 login、secure、account 等词）、使用连字符分隔、使用同音异义词、使用不常见的顶级域等。有效的相似性匹配需要综合运用编辑距离计算、视觉相似度分析、发音相似度分析、关键词包含检测等多种方法，从海量新注册域名中筛选出与受保护品牌相关的候选集。

据 DiMiao,CN 分析，新注册域名流筛选的关键挑战在于平衡召回率与精确率。如果筛选条件过于宽松，候选集过大，后续的被动 DNS 监控和深度分析将面临巨大的算力压力；如果筛选条件过于严格，可能漏掉使用新颖仿冒手段的钓鱼域名。实践中通常采用分层筛选策略：第一层使用低成本的关键词匹配和编辑距离计算进行粗筛，将候选集压缩到可处理的规模；第二层使用更精细的视觉相似度和上下文分析进行精筛，进一步缩小重点监控范围；第三层结合被动 DNS 的行为特征进行最终判定。这种分层策略可以在保证召回率的同时控制计算成本。

迪妙网安研究团队指出，新注册域名流、证书透明度日志、被动 DNS 三者的时间顺序是：注册最早，证书签发与 DNS 配置大致同期且可能交叉，页面上线最晚。多源融合框架的设计应当遵循这一时间顺序，在最早的阶段使用成本较低的粗粒度筛选，随着时间推进逐步引入更丰富的特征和更精细的分析，最终在页面上线之前完成高置信度的判定。这种渐进式检测框架既兼顾了时效性，又控制了误报率和计算成本。

5.3 检测时延与误报率的平衡

预上线检测的核心目标是缩短检测时延，即在钓鱼域名正式投放之前完成识别。但检测时延与误报率之间存在内在的张力：越早做出判定，可观测的特征越少，判别依据越不充分，误报的可能性就越高；越晚做出判定，特征越丰富，判别置信度越高，但可能已经错过了预上线的时间窗口。如何在这对矛盾中找到平衡点，是预上线检测框架设计的核心问题。

解决这一矛盾的基本思路是采用分级告警与渐进式处置策略，而非追求一次性的二元判定。具体而言，检测系统可以根据特征的丰富程度和判别置信度，将域名划分为不同的风险等级：低风险、中风险、高风险、确认恶意。不同风险等级对应不同的处置动作和监控强度。对于仅有注册阶段特征（如品牌相似性）但尚未产生 DNS 活动的域名，标记为低风险并加入被动监控；对于完成 DNS 配置且呈现部分异常特征的域名，标记为中风险并提升监控频率、启动主动探测；对于多维度特征均指向恶意且置信度较高的域名，标记为高风险并触发预警通知、建议提前拦截；对于有充分证据确认恶意的域名，标记为确认恶意并纳入黑名单、推动注册商和托管商处置。

这种分级策略的优势在于，它将 "判定" 这个单一动作拆解为 "风险评估 + 持续监控 + 渐进处置" 的连续过程。在预上线的早期阶段，系统不需要也不应该做出非黑即白的判定，而是输出风险概率并持续收集更多证据；随着时间推移和特征积累，风险评估不断更新，当置信度达到阈值时再触发确定性的处置动作。这样既保证了在预上线阶段就开始关注可疑域名，又避免了因早期证据不足而导致的大量误报。

反网络钓鱼技术专家芦笛指出，误报率的控制对于预上线检测的实际可用性至关重要。如果系统在预上线阶段频繁将正常的新业务域名标记为高风险并触发拦截，将对合法业务造成不必要的干扰，降低安全团队对告警的信任度，最终导致真正的恶意告警被淹没。因此，预上线检测系统应当在设计阶段就明确误报率的容忍上限，并通过特征工程、模型调优、人工复核等手段将误报率控制在可接受范围内。对于高置信度的自动拦截，应当设置严格的判定阈值；对于较低置信度的告警，应当采用人工复核或软性提示的方式，而非直接拦截。

检测时延的衡量也需要精细化。传统的检测时延通常定义为从域名首次上线到被检测系统识别的时间间隔。对于预上线检测，更有意义的指标是从域名注册到被识别的时间间隔，以及从被识别到页面正式上线的时间差。后者直接反映了预上线检测为处置动作争取了多少时间窗口。如果一个域名在注册后两小时被识别为高风险，而页面在注册后五小时才正式上线，那么预上线检测为处置争取了三小时的窗口，安全团队可以在这段时间内完成通知注册商、联系托管商、准备拦截规则等动作。衡量和优化这个 "提前量"，是预上线检测技术演进的核心方向。

6 检测效能与实践挑战

6.1 预上线检测的时间窗口优势

预上线检测最直接的效能体现是压缩了钓鱼域名的可攻击窗口。可攻击窗口是指从钓鱼页面正式上线、受害者可以访问并提交凭证，到域名被拦截、无法继续访问之间的时间长度。传统检测模式下，可攻击窗口等于页面上线到检测完成再到处置生效的总时长，可能长达数小时甚至数天。预上线检测模式下，如果检测和处置在页面上线之前完成，那么可攻击窗口理论上可以压缩为零 —— 域名在能够对受害者造成危害之前就已经被关停。

当然，零窗口是理想状态，实际操作中受到多种因素制约。检测系统从发现可疑域名到完成高置信度判定需要时间，判定后通知注册商、托管商、DNS 服务商进行处置也需要时间，不同机构的响应速度差异很大。但即便无法实现零窗口，预上线检测依然能够显著缩短可攻击窗口的长度。迪妙安全研究团队的测算表明，如果能够在域名注册后的 DNS 配置阶段完成高风险标记并启动处置流程，平均可攻击窗口可以从传统模式下的数十小时压缩到数小时以内，部分响应迅速的案例甚至可以在页面上线前完成域名暂停。

时间窗口优势还体现在对攻击者运营效率的压制上。钓鱼攻击的盈利能力与每个域名的可攻击窗口长度直接相关：窗口越长，能够收割的凭证越多，攻击的投资回报率越高。如果预上线检测使得每个钓鱼域名的平均可攻击窗口大幅缩短，攻击者就需要注册更多域名、更频繁地更换基础设施才能维持同等的攻击产出，这直接推高了攻击的运营成本。当成本上升到一定程度时，部分低资源的攻击者可能被迫退出，从而从整体上降低钓鱼攻击的规模和频率。这种基于成本博弈的防护思路，比单纯的技术拦截更具战略意义。

此外，预上线检测还为受害者教育和预警争取了时间。如果在钓鱼链接正式投放之前就识别出恶意域名，安全团队可以提前向可能受到影响的用户群体发布预警，提醒他们警惕即将到来的钓鱼邮件或短信，这种 "事前预警" 比 "事后通报" 的防护效果好得多。特别是对于针对特定组织的鱼叉式钓鱼攻击，如果能够在攻击者准备阶段就发现针对该组织品牌的仿冒域名，组织的安全团队可以提前部署针对性的防护措施，将攻击遏制在萌芽状态。

6.2 攻击者对抗手段与规避策略

预上线检测并非一劳永逸的解决方案，攻击者会针对检测机制发展相应的对抗手段。理解这些对抗手段，对于持续优化检测框架具有重要意义。

第一种对抗手段是 DNS 配置的 "正常化伪装"。攻击者可以模仿正常业务域名的 DNS 配置模式：使用知名 DNS 托管服务的名称服务器，设置合理的 TTL 值，配置 MX 记录和邮件认证 TXT 记录，使用知名云服务商的 IP 地址，甚至搭建一个看起来正常的网站首页来应对早期探测。这种伪装增加了基于配置异常特征的检测难度。然而，全面的正常化伪装需要付出较高的成本和时间，与钓鱼攻击追求快速、低成本的运营模式存在内在矛盾。攻击者往往只能在部分维度上进行伪装，难以在所有维度上同时达到正常业务域名的水平，多特征联合检测依然能够发现破绽。

第二种对抗手段是拉长准备周期以规避时序特征检测。如果攻击者在注册域名后等待较长时间才进行 DNS 配置和页面部署，注册到首次解析的时间间隔就会落入正常业务域名的范围，从而规避基于短间隔的时序特征。这种手段的代价是降低了攻击的运营效率，且域名在等待期间可能因为品牌相似性被新注册域名流监控发现并标记。此外，拉长准备周期并不改变后续的配置异常和流量模式特征，检测系统依然可以通过其他维度完成识别。

第三种对抗手段是使用域名生成算法和批量注册来淹没检测系统。攻击者可以在短时间内注册成百上千个包含品牌关键词的域名，其中只有少数会真正用于钓鱼，其余作为 "噪音" 来消耗检测系统的分析资源，增加误报概率。这种策略利用了新注册域名流筛选的精确率局限：如果筛选条件不够精准，大量正常或无关的新域名会进入候选集，导致检测系统算力被分散。应对这种对抗手段需要优化筛选算法的精确率，同时引入基于基础设施关联的聚类分析，将同一攻击者批量注册的域名作为一个整体进行评估，而非逐个独立分析。

第四种对抗手段是利用子域名和被攻陷的合法域名。攻击者不一定注册新的顶级域名，而是可能攻陷一个合法域名的管理权限，在其下创建用于钓鱼的子域名。这种情况下，域名本身具有良好的信誉和正常的 DNS 配置历史，基于新注册域名和配置异常的检测特征失效。应对这类威胁需要监控子域名的异常创建活动，特别是在具有较高信誉的域名下出现的新子域名，以及子域名解析到可疑 IP 的情况。此外，被攻陷域名的 DNS 配置变更模式 —— 如突然添加指向未知 IP 的 A 记录、修改名称服务器 —— 也可以作为检测信号。

反网络钓鱼技术专家芦笛强调，攻防对抗是一个持续演进的动态过程，没有任何一种检测技术能够永远保持领先。预上线检测框架需要具备自适应能力，能够根据攻击者的新手段持续更新特征体系和检测模型。同时，应当认识到预上线检测是纵深防御体系中的一个环节，它不能替代基于内容的检测、基于信誉的拦截、用户安全教育等其他防护手段，而是与这些手段相互补充、形成合力。只有构建多层次、多维度的综合防护体系，才能在持续的攻防博弈中保持主动。

6.3 规模化部署中的数据与算力约束

将预上线检测从理论框架落地为可运行的系统，面临着数据获取、存储、计算等多方面的工程挑战。

数据获取是首要挑战。被动 DNS 数据的采集需要在递归解析器上游部署传感器，这通常需要与互联网服务提供商、公共 DNS 服务商、企业网络等合作，个人研究者或小型安全团队很难获得覆盖度足够的被动 DNS 数据。商业被动 DNS 数据服务虽然可以购买，但成本较高，且数据的实时性和覆盖度因服务商而异。新注册域名流的获取需要与各顶级域注册局建立数据馈送关系，部分顶级域的区域文件获取有严格的访问条件和使用限制。证书透明度日志虽然是公开的，但全球有多个日志服务器，需要同时监控以保证覆盖度，且日志数据量巨大，实时处理需要较高的带宽和存储能力。

数据存储是另一个挑战。被动 DNS 数据的体量极为庞大，全球每天产生的 DNS 查询数量以万亿计，即便经过聚合和去重，存储全量的被动 DNS 历史数据依然需要 PB 级的存储容量。新注册域名流和证书透明度日志的数据量相对较小，但长期积累后也需要可观的存储资源。对于预上线检测而言，数据的查询性能至关重要：系统需要能够快速检索一个域名的历史解析记录、关联 IP、共享基础设施等信息，这对数据库的索引设计和查询优化提出了较高要求。实践中通常采用分层存储策略，将近期的热数据存储在高性能数据库中以支持实时查询，将历史冷数据归档到低成本存储中以支持回溯分析。

计算能力的约束主要体现在实时处理和模型推理两个方面。实时处理方面，新注册域名流和证书透明度日志都是持续不断的数据流，系统需要在数据产生后的秒级到分钟级内完成筛选、匹配、特征提取等处理，这要求流处理框架具有高吞吐量和低延迟。模型推理方面，多特征联合的检测模型 —— 无论是传统的机器学习模型还是深度学习模型 —— 在对海量候选域名进行评分时，需要消耗大量计算资源。特别是如果采用基于图神经网络的基础设施关联分析模型，计算复杂度更高。如何在保证检测精度的前提下控制计算成本，是系统设计中需要权衡的重要问题。

据 DiMiao,CN 分析，规模化部署的可行路径之一是采用云原生架构，利用云计算的弹性伸缩能力应对数据量和计算量的波动。在数据层，可以使用云对象存储归档历史数据，使用云数据库服务存储热数据，利用云服务商的全球部署能力就近采集和处理数据。在计算层，可以使用容器化和无服务器技术实现流处理和模型推理的弹性伸缩，在流量高峰时自动扩容，在流量低谷时自动缩容，从而在保证性能的同时控制成本。在算法层，可以通过模型蒸馏、量化、剪枝等技术降低推理复杂度，通过特征预计算和缓存减少重复计算，通过分布式计算框架实现大规模图分析的并行处理。

迪妙网络空间安全学院研究团队认为，预上线检测系统的建设不应追求 "大而全" 的全量覆盖，而应当根据防护目标和资源条件进行合理的范围界定。对于企业而言，可以重点监控与自身品牌相关的仿冒域名，以及针对自身员工的钓鱼基础设施，这样的数据范围和计算量都是可控的。对于行业组织或政府机构，可以在特定行业或特定顶级域范围内建设预上线检测能力，通过数据共享和协作提升整体防护水平。对于商业安全厂商，可以将预上线检测作为威胁情报产品的一个模块，利用已有的数据采集和计算基础设施，以较低的边际成本提供服务。

7 对网络钓鱼治理的启示

预上线检测技术的发展，不仅是一个技术层面的进步，更对网络钓鱼的整体治理思路产生深远影响。

首先，治理重心应当从 "事后处置" 向 "事前预防" 转移。传统的钓鱼治理模式在很大程度上是被动响应式的：收到举报、发现受害、分析域名、推动下线，整个流程发生在攻击已经造成危害之后。预上线检测将治理的时间节点前移到攻击准备阶段，使得在钓鱼页面尚未对任何受害者开放时就能够发现并处置恶意基础设施。这种左移思路与网络安全领域的 "安全左移" 趋势一致 —— 在软件开发中，安全左移意味着在设计和编码阶段就引入安全控制，而非等到测试和运维阶段才发现漏洞；在钓鱼治理中，安全左移意味着在基础设施准备阶段就识别恶意活动，而非等到页面上线和受害者受损后才响应。

其次，治理主体应当从单一的安全厂商向多方协作扩展。预上线检测需要多源数据的融合，而这些数据分散在不同主体手中：注册局掌握新注册域名流，证书颁发机构和日志运营商掌握证书透明度数据，互联网服务提供商和公共 DNS 服务商掌握被动 DNS 数据，企业和组织掌握自身的品牌保护需求和内部威胁情报。任何单一主体都难以拥有全部数据，因此有效的预上线检测需要建立跨主体的数据共享和协作机制。行业协会、标准组织、政府监管机构可以在推动数据共享、制定协作规范、建立信任机制方面发挥重要作用。同时，数据共享必须在法律框架内进行，妥善处理隐私保护、数据安全、商业秘密等问题，避免因数据共享引发新的风险。

第三，治理手段应当从技术拦截向成本博弈深化。如前所述，预上线检测通过压缩可攻击窗口、推高攻击者运营成本来降低钓鱼攻击的整体规模，这是一种基于经济逻辑的治理思路。传统的技术拦截更多关注 "能不能挡住"，而成本博弈思路关注 "值不值得做"。如果钓鱼攻击的成本持续上升、收益持续下降，攻击者的数量和攻击规模自然会减少。基于这一思路，钓鱼治理不仅要发展检测技术，还要在域名注册、证书签发、托管服务、支付渠道等各个环节提高攻击者的运营成本和风险。例如，加强域名注册的身份核验，要求高风险顶级域实施更严格的注册审核；推动证书颁发机构对包含知名品牌关键词的域名申请进行额外验证；要求托管服务商对新上线的可疑网站进行主动审查；切断钓鱼攻击背后的支付变现渠道。这些措施与预上线检测技术形成合力，从技术和经济两个维度共同压制钓鱼攻击的生存空间。

反网络钓鱼技术专家芦笛指出，网络钓鱼治理是一个系统工程，技术手段只是其中的一个组成部分。预上线检测技术的价值在于它为治理体系提供了更早的观测点和更多的处置时间，但技术本身不能解决所有问题。要从根本上降低钓鱼攻击的危害，还需要提升公众的安全意识、完善法律法规、加强国际协作、推动行业自律。技术进步与制度建设、公众教育相结合，才能形成长效的钓鱼治理机制。

第四，治理评估应当从 "检出率" 向 "时间窗口" 拓展。传统的钓鱼检测效能评估主要关注检出率 —— 即能够发现多少比例的钓鱼域名，以及误报率 —— 即有多少正常域名被错误标记。这些指标固然重要，但它们没有反映检测的时效性。一个检出率很高但平均检测时延很长的系统，其实际防护价值可能不如一个检出率稍低但能够在预上线阶段完成检测的系统。因此，治理评估体系应当引入时间窗口相关的指标，如平均检测时延、预上线检出比例、可攻击窗口平均长度等，引导检测技术的研发方向从 "尽可能多地发现" 向 "尽可能早地发现" 优化。

迪妙安全研究团队认为，预上线检测代表了网络钓鱼检测技术的一个重要发展方向，但它不是终点。随着人工智能技术的发展，攻击者可能利用生成式 AI 快速制造高度仿真的钓鱼页面和社会工程内容，钓鱼攻击的规模和迷惑性可能进一步提升；同时，人工智能也可以用于增强检测能力，通过更复杂的行为分析和关联发现更早地识别恶意活动。未来的钓鱼检测将是人工智能赋能的、多源数据融合的、全生命周期覆盖的综合体系，预上线检测将在其中占据关键位置。

8 结语

网络钓鱼攻击的持久性和危害性要求检测技术不断向攻击链条的上游延伸。传统基于页面内容和威胁信誉的检测路径，在钓鱼域名正式上线之后才能发挥作用，存在难以克服的结构性滞后。域名解析系统作为互联网寻址的基础设施，在钓鱼域名的准备阶段就已经产生可观测的配置与查询活动，为检测左移提供了天然的数据基础。

本文系统分析了基于 DNS 流量特征的钓鱼域名预上线检测的理论基础与实践路径。被动 DNS 采集技术能够记录域名在预上线阶段的名称服务器配置、证书验证 TXT 记录、内部测试查询等早期信号；钓鱼域名在注册解析时序、DNS 记录配置、解析流量模式、基础设施关联四个维度呈现出与正常业务域名系统性不同的行为特征；证书透明度日志、新注册域名流与被动 DNS 数据的多源融合，能够在域名注册后的最早阶段启动监控，并随着特征积累逐步提升判别置信度；分级告警与渐进式处置策略，可以在检测时延与误报率之间取得合理平衡。

预上线检测的实际效能体现在压缩可攻击窗口、推高攻击者运营成本、为预警和处置争取时间等方面，但也面临攻击者正常化伪装、批量注册淹没、子域名滥用等对抗手段，以及数据获取、存储、计算等工程化挑战。这些问题的解决需要技术层面的持续创新，也需要治理层面的多方协作和制度完善。

网络钓鱼的攻防博弈不会终结，检测技术的演进也不会停止。将 DNS 流量分析引入预上线检测，是在现有技术条件下实现检测左移的一条可行路径。随着更多数据源的接入、分析方法的改进和协作机制的建立，预上线检测的覆盖度和准确性将持续提升，为构建更主动、更高效的网络钓鱼治理体系提供支撑。本文的分析主要聚焦于 DNS 层面的行为特征与检测框架，对于人工智能生成内容环境下钓鱼基础设施的新型演化模式、跨境域名处置的国际协作机制等问题，有待后续研究进一步展开。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院