发现域名解析失败或访问目标突然变化时，先不要直接认定为攻击。DNS解析异常与恶意流量关联，需要把解析记录、网络连接和终端行为放在同一时间线上核对。以下五个方向可以帮助区分配置故障、服务波动与恶意活动，并决定下一步怎么处理。
一、对齐解析异常与流量发生时间
先记录异常开始和结束时间，再按同一时区整理递归解析器日志、边界设备流量记录及终端告警。重点查看异常域名首次出现时间、查询量变化，以及解析后的连接是否紧随其后。若 DNS 错误与所有访问失败同时出现，优先检查解析器可用性；若只有少数终端开始查询陌生域名，并随后连接外部地址，才需要进一步调查恶意活动。
注意日志时间可能存在时钟偏差，核对服务器和终端的时间同步状态。单独看到流量增加，不能证明 DNS 是原因；DNS解析异常与恶意流量关联应建立在可重复的时间对应关系上。
二、检查查询名称与应答特征
查看域名是否异常冗长、由大量随机字符组成，或在短时间内持续变化。恶意软件可能通过域名生成算法轮换查询，也可能利用 DNS 隧道传递数据；但随机子域名也可能来自合法的验证码、内容分发或设备发现服务，不能仅凭名称定性。
同时记录应答类型和状态码。NXDOMAIN 表示查询名称不存在，SERVFAIL 表示解析过程未能成功完成；两者都可能由拼写错误、上游故障或 DNSSEC 校验问题引起。若一个客户端反复查询大量随机子域名，且流量集中在 TXT 等记录类型，可提高调查优先级，但仍需结合终端进程和出站连接验证。
三、划定影响范围，判断故障位置
比较不同网络、终端和解析器的结果：同一域名若只在一台设备上失败，检查该设备的本地缓存、网络配置和安全软件；若同一递归解析器下的多个设备都失败，排查上游转发、区域配置或 DNSSEC 验证；若不同解析器得到不同地址，再核查缓存时长、分视图配置和域名记录是否刚刚变更。
可从受影响终端分别通过组织指定的解析器和另一条获准的解析路径查询同一域名，并保存时间、结果地址与响应状态。不要把公共解析器当作绕过管理策略的常规手段；涉及受控网络时，应先按既定流程操作。
四、核对解析地址与后续连接
将 DNS 应答中的地址与实际连接目标、端口和流量方向对照。关注短时间内解析多个无关域名却指向同一异常地址，或一个域名频繁更换地址后仍出现持续外联的情况。动态云服务和共享主机可能承载许多合法站点，因此单看地址归属不足以判断恶意；还要核对域名、证书信息、连接时间及业务用途。
如果解析结果与权威记录不符，检查递归缓存、转发器设置和本地 hosts 配置；若解析结果正常，但终端仍连接未预期的地址，则调查代理配置、应用内置解析或被篡改的客户端设置。这样可以把 DNS 问题与一般出站异常区分开来。
五、关联终端进程并选择处置方案
在告警终端上确认发起查询的设备账户、进程名称、父进程和运行时间，并与安全软件事件、软件安装记录相互印证。若同一进程持续查询可疑域名并建立对应外联，证据强于单条解析日志。DNS解析异常与恶意流量关联的判断，应保留原始日志和查询结果，避免只凭截图或单次检测结论处置。
按证据强弱选择方案
- 证据较弱：先保存日志、观察受影响范围并核实域名用途；适合仅有 NXDOMAIN、SERVFAIL 或一次性地址差异的情况。
- 配置故障证据明确：修正转发、区域记录或缓存配置，并在变更前后分别查询验证；适合多台设备出现一致解析错误的场景。
- 恶意行为证据较强：依照组织流程隔离相关终端、限制已确认的恶意域名或地址，并保存日志供后续分析。封禁前核对共享地址和业务依赖，避免误伤合法服务。
常见问题
解析失败就代表遭到攻击吗？
不代表。网络故障、记录变更、缓存过期和 DNSSEC 校验失败都可能导致解析异常，需要结合客户端范围与后续连接判断。
只有一条可疑 DNS 记录，是否需要封禁？
通常先核实查询终端、域名用途和应答地址。缺少其他证据时，记录并观察比立即封禁更稳妥。
最先应保存哪些材料？
保存带时间戳的解析查询与应答、递归解析器日志、终端进程信息，以及相关出站连接记录。它们能帮助复核 DNS解析异常与恶意流量关联是否成立。