如何收集恶意域名？恶意域名收集方法

恶意域名收集的核心在于“多渠道采集、交叉验证、持续更新”，单靠某一个情报源或单一工具，很难在真实攻防场景中跑赢攻击者。

说到恶意域名,很多人第一反应是“我直接拉一份黑名单不就完了吗”，可真到落地的时候你会发现：域名无穷尽，攻击者每天新注册的、新解析的、新变种的，源源不断，做安全运营的朋友应该跟我有同样的感受不是在追着域名跑，就是在去追域名解析的路上。

这篇文章我把自己的实践经验拆开来讲,从情报源、工具链、验证清洗到检测落地，一条线走完，你要是正准备搭一套恶意域名检测系统，或者想把手头的威胁情报利用得更充分，往下看会有收获。

恶意域名收集方法有哪些：先搞清情报从哪来

恶意域名不会凭空冒出来,它一定有来源，从来源性质上分，无非两大类：一类是被动收集，从公开渠道扒；另一类是主动探测，自己搭机制去诱捕。

被动收集：利用公开情报源

公开的恶意域名情报源是主力,成本低，见效快，我常用的几个渠道包括：

• Abuse.ch 系列：包括 URLhaus、ThreatFox、Feodo Tracker，覆盖恶意URL、C2服务器、僵尸网络域名，更新频率高，格式标准化，非常推荐。
• PhishTank：专注钓鱼URL，人工审核机制，准确率高，但延迟会稍大一些。
• AlienVault OTX：社区驱动的威胁情报平台，上面有大量用户提交的恶意域名和指标（IOC），覆盖面广，质量参差不齐，需要自主清洗。
• VirusTotal：查询单个域名的多引擎检测结果，适合做交叉验证，不适合直接拉全量数据。
• 国内商业威胁情报平台：奇安信、微步在线、绿盟科技都开放了部分免费威胁情报查询接口，对中文场景的钓鱼、诈骗域名覆盖很好。

行业共识认为：单纯依赖免费情报源做防守，漏报率较高，一般要叠加至少两到三个数据源才能获得较完整的覆盖率。

被动收集最大的问题是“滞后”：攻击者先动手，安全厂商再收集，然后才会发布，如果是时效性要求高的防守场景，光靠这个远远不够。

主动收集：自建蜜罐和DNS探针

主动收集是把我方的位置前移,最典型的做法是自建蜜罐，模拟常见的Web服务、数据库服务，吸引攻击者来探测，从而捕获攻击者的基础设施信息，包括恶意域名。

具体操作路径大致如下：

• 部署高交互或低交互蜜罐,比如常用的开源蜜罐框架 HFish、T-Pot。
• 蜜罐记录所有攻击流量来源IP和请求头里的Host字段,从中提取攻击者反连的域名。
• 配合被动DNS采集器,持续记录内网中的所有DNS解析请求，识别内网失陷主机外连的可疑域名。

我认识的一些资深安全运营人员,会用DNS探针长期监控自己网络内的DNS查询日志，只要出现大量失败的域名解析请求，大概率就是恶意软件感染后在尝试连接C2，这比任何外部情报都要及时。

恶意域名情报平台怎么选：开源还是商业

市面上号称能做恶意域名收集的平台非常多,但真正好用的其实没几个，选择的时候不要只看功能列表，还得结合自己的团队规模和预算。

开源平台的优劣势

性价比是开源方案的最大卖点,MISP和OpenCTI是安全领域最常用的两个开源威胁情报平台，支持自定义事件源、自动化导入导出，配合自家的SIEM或SOC能很快跑起来。

但开源平台的痛处也很明显界面交互差、插件质量参差、文档更新慢，在大型攻防对抗中，情报更新分钟的延迟可能就意味着失陷，据我所知，大部分中小企业最终都会转向商业平台。

商业平台看什么

商业威胁情报平台比较多,国外的 Recorded Future、CrowdStrike，国内的微步在线、奇安信威胁情报中心，各有各的特色，选择时主要看三点：

1. 无API限制的实时查询能力，落地到安全设备边缘设备时是否顺畅；
2. 情报置信度高不高，同一域名，不同平台给出的安全标签是否一致；
3. 中文钓鱼、诈骗域名的覆盖率，国内威胁场景和海外差别很大，只看境外数据会造成严重漏报。

平台对比表格

业内专家指出,大企业更倾向于商业和开源并行，用商业平台做实时拦截，用开源平台做线索沉淀。

收集之后还得过三关：去重、验证、标记

收集域名的过程很爽,但真正的功夫在下游。不经过清洗的数据只是噪声，不是情报。

第一关：去重

从不同源进来的域名会有大量重叠,这一步的做法很简单，但很关键：

• 按域名主注册域做归一化处理,统一转小写，去掉末尾句点。
• 过滤掉已经失效的NXD域名（域名不存在），减少无效IOC。
• 用正则剔除正常白名域名,减少误报。

第二关：验证

验证的目的,是判断域名是否真的是“活”的、是否真被用于攻击，整条链路通常包括：

• 查Whois信息：注册时间是否最近30天内，注册者信息是否符合正常业务特征。
• 查DNS解析记录：解析是否正常，是否指向已知的恶意IP段，是否用上了DGA（域名生成算法）特征。
• 主动访问探测：用爬虫访问域名解析出的网站，看页面内容是否为钓鱼页面、博彩站或者虚假支付页面。
• 联动沙箱分析：如果近期该域名有样本关联，在沙箱里跑一遍确认行为。

第三关：标记

标记一定要统一规范,不能随便打，推荐的做法是：

• 沿用行业标准的事件类型分类,如 C2、钓鱼、木马、传播源等。
• 补充恶意用途描述、家族归属、关联样本哈希。
• 定期复查,把已经失效、被关停、被域名注册商重分配的白名单化。

恶意域名检测规则如何落地：从情报到自动化

光有清单还不够,关键在于把情报源变成安全设备能识别的规则，同时在访问链路中及时拦截。

DNS侧检测

在实际的DNS防护场景中,我们可以把自己维护的恶意域名库接入到本地DNS解析器，使用RPZ（响应策略区域）机制实时拦截恶域名的递归解析，具体流程如下：

• 将清洗后的恶意域名列表转成RPZ zone格式，填入DNS服务器。
• 配置解析策略,命中恶意域名后返回黑洞IP或直接NXDOMAIN。
• 每30分钟从情报中心自动拉取增量数据,更新到RPZ zone。

这种方式对终端用户基本无感知,防TCP/IP协议栈层面的外联很有效。

流量侧检测

如果内网存在私有协议或隧道加密流量绕过DNS检查,那我们还需要把恶意域名库导入到流量探针和IDS设备中，现在常见的做法是：

1. 在网络出口镜像流量中实时提取SNI字段（SNI字段包含域名信息），和恶意域名库做比对。
2. 用suricata或snort规则,把IOC列表编译成域名匹配规则，一旦HTTP请求头或TLS证书中的域名命中等规则库，立即触发告警。
3. 有条件的情况,可以把情报库同步到防火墙，利用FQDN对象或URL过滤策略做自动封禁。

封禁策略

落地策略时务必考虑正常业务的可用性,不要一股脑全封，建议按照情报置信度字段设置策略档位：

• 高置信度且死关联确凿的域名：直接防火墙拦截，阻断所有协议。
• 中置信度域名的访问：只告警，不封禁，进入到事件响应排查流程。
• 低置信度域名：存入观察名单，重点监控是否有多次HTTP请求失败记录，加入后续排查。

这套策略在攻防演练和日常运营中都很适用,可持续压制勒索软件、挖矿木马、APT团伙在本地长期驻留的常用通道。

恶意域名收集常见问题解答（Q&A）

恶意域名收集情报需要多久更新一次？

恶意域名的生命周期通常较短,C2域名几小时内可能就会失效或者更换IP，建议至少每30分钟拉取一次最新数据，结合被动分析和真实流量样本进行验证，对于RAT、僵木蠕虫类的家族要做到小时级更新，否则难以抵抗新一代恶意软件频繁变更基础设施的攻击手法。

没有预算，只有免费工具，能搭建一套基本可用的域名收集闭环吗？

能,利用VirusTotal免费搜索额度、Abuse.ch的每日免费下载接口、本地自建蜜罐，可以拼凑一套基础闭环，定期把情报导入自建MISP，手动校验后导出成黑名单，再传到PfSense防火墙或AdGuard Home上做阻断，不花钱也能完成“收集清洗阻断”主流程，但漏报率会比商业方案高很多，免费工具适合入门学习或小规模试水，后续若有预算再逐步增加商业情报源。

恶意域名和恶意URL有什么区别？为什么域名收集更优先？

恶意域名是URL的基础组成,同一恶意域名下可以生成成千上百条不同的恶意URL，且URL会随访问路径动态变化，而域名相对稳定，域名解析是攻击者建立信道的必经手段，做域名收集能更早发现，更高效阻断，恶意URL适合在流量侧做精细的防护补充，但整体的优先层级低于域名。