子域名接管的检测：日志、流量与异常特征

邮件域的子域名被接管，可以被用来发送能通过 SPF 校验的信件，收件方很难识别

先保证三件事：入口参数有记录、危险点有埋点、时间戳可信。

先说结论

能被检测的前提是「有基线」：不知道正常长什么样，异常就看不出来。

• 入口：记录原始参数（脱敏后）
• 危险点：记录调用与关键参数
• 基线：同类请求的频率与形态
• 告警：低误报优先，先做「罕见」而不是「可疑」
• 留存：至少 30 天，且异地一份

该记什么

接管之后能拿到同源信任：主域的 Cookie 作用域与 CSP 白名单都会认这个子域，站点与邮件是同一条链。

异常长什么样

邮件域的子域名被接管，可以被用来发送能通过 SPF 校验的信件，收件方很难识别。

检测规则从「罕见」开始最有效：同一 IP 短时间内参数形态高度相似，往往就是自动化工具。

这个问题的几个观测点

实际排查时最有用的几条：

• 对象存储的桶名全局唯一，释放之后名字可以被任何人重新注册并绑定，成本接近于零
• 资产台账里已经停用的业务，DNS 记录往往没人清理，是最常见的来源

为什么有日志还查不出

下线业务只删了服务器，DNS 记录留在原处

以为没开 HTTPS 就没风险，同源信任不看证书

只查主域，忘了外包团队申请的二级子域

最小可行方案

没有 SIEM 也能做：每日统计 4xx/5xx 比例与 Top 路径；每周比对新增定时任务、账号与监听端口；每月抽查日志留存。

关键告警走独立通道，别只发邮件。

再补充几点

这几条不改变结论，但会改变你评估风险时的顺序。

• 子域名的 CNAME 仍指向第三方，而那个资源已经被释放，就存在被他人重新认领的风险
• 每月比对一次 CNAME 目标是否还能解析，是成本最低的发现手段，下线流程里要加一步 DNS 回收

检测的价值不在抓人，在缩短「从被利用到发现」的时间。