可疑域名调查指南
如何调查可疑域名：注册信息、DNS、声誉、与已知威胁的关系，以及推荐工具。
快速解答
调查可疑域名时，先检查注册/WHOIS 年龄与注册商、DNS 记录（A/NS/MX/TXT、邮件认证）、对照已知威胁数据的声誉（被动 DNS / IOC），以及与钓鱼或 C2 基础设施的任何关联，然后才作决定。
定义
针对可疑域名的调查程序：综合注册数据、被动 DNS、声誉与威胁情报关联来判断其恶意程度。
目标
判断域名是恶意、良性，还是可疑但未经证实——依据证据，不做无根据臆断。
前置条件
- 可疑域名；被动 DNS/声誉来源；威胁情报关联。
证据收集
- 注册信息：WHOIS 年龄、注册商、注册人隐私——超新注册叠加仿冒拼写是钓鱼/C2 信号。
- DNS：通过
guides:tool-dns-guide与guides:analyze-dns检查 A/AAAA、NS、MX、TXT（SPF/DKIM/DMARC）。快速轮换的 NS（fast-flux）或频繁变更暗示 C2（T1071）。 - 声誉：对照 IOC 数据检查域名/IP（
guides:tool-ioc-guide），是否为知名品牌的仿冒，以及 URL 扫描（guides:tool-url-analyzer-guide）。
指标
- 近期自动续费的注册、不常见 TLD、域名抢注（typosquatting）名称、悬空 DNS（dangling DNS），或解析到声誉不良的 IP。
验证
- 在判定为恶意之前，关联 ≥2 个指标（例如：新注册 + 声誉命中）；单一弱信号保持”不确定”。
调查
- 由域名 → IP → 同一 IP/名称服务器上的其他域名 → 邮件指标（见
security:email-security）→ 任何关联活动进行枢纽。
决策
- 威胁关联强则阻断/追踪；不确定则监控；无信号则不处理。
遏制与缓解
- 在过滤器/DNS 中为已确认的恶意域名添加拒绝规则；转交钓鱼响应流程（
guides:phishing-email-investigation-playbook）。
参考资料
- MITRE T1566 / T1071；ICANN WHOIS 如所列。