Research notes · 2026 年 10 月 7 日

C2 通信现状、企业网络限制与遗留风险

恶意程序与控制服务器之间的通信（C2）有哪些方式，企业在网络层应做哪些限制，做完之后还剩什么风险。给负责企业网络和安全的人看。

案例覆盖至 2026 年 10 月产品文档查阅日 2026-10-07不针对特定公司网络或设备型号

先说结论

C2 正在从攻击者自建的服务器，转向企业已经允许的服务。2025 到 2026 年的公开案例里，Google Calendar、Microsoft 365、Discord、Telegram、Cloudflare Tunnel、Tailscale 和商业远程管理工具都被用作控制通道。

网络层能做三件事：收紧 DNS，阻塞不需要的服务和端口，记录足够的日志供关联分析。这三件事挡得住大部分自建 C2 和地址寻址，也能让隧道和远程管理工具的滥用留下痕迹。

网络层挡不住藏在已允许云服务里的 C2。那部分需要终端进程证据和服务审计日志。企业应把网络限制当成第一层，不当成唯一一层。

本文依据公开的一手报告和产品文档。规则、阈值和次序是建议，需要在各自环境中测试。本文不修改任何网络设置。

第一部分：C2 现状

1.1 C2 由几段通信组成

恶意程序常有几段通信：寻找控制地址、下载下一段程序、交换命令、上传结果、传送文件。一个服务可以承担一段，也可以承担全部。

例如，程序先从公共博客或区块链合约读取地址，再用 HTTPS 连接另一台服务器。博客是地址来源，另一台服务器是命令通道。大文件还可能上传到第三个云存储。^4,5

只监测上传的服务，会错过早期控制。只阻塞地址来源，会错过已建立的通道。设计限制时，每一段都要考虑。

1.2 12 类通信方式

下表按通信方式分类。各类可以组合。端口是常见设置，不能作为唯一识别依据。MITRE ATT&CK 收录这些协议及代理方式。^{7 到 14}

12 类 C2 通信方式，以及网络层能阻塞什么、能报警什么
方式	通信如何发生	网络可阻塞的对象	网络报警依据	主要限制
自建 HTTP/HTTPS、WebSocket	设备请求命令，或保留连接接收命令	已知恶意域名、IP；不必要的外部连接	罕见目的地、反复短连接、少量定期通信、异常长连接	TCP 443 与正常网页相同；加密隐藏内容
DNS 通道	命令或数据进入查询名及 DNS 响应	已知域名；外部解析器	长子域名、多次不同子域名、异常 TXT、异常查询量	合法解析器也能转发恶意查询
加密 DNS	DoH、DoT、DoQ 隐藏解析或 DNS 通道	未批准解析服务、853；必要时限制 UDP 443	设备连接多个解析服务、绕过公司 DNS	自建 DoH 可混入普通 HTTPS
公共内容中的控制地址	博客、代码仓库、帖子、区块链合约存放地址	恶意页面、账号、仓库；不必要的内容服务	公共内容访问后，紧接罕见外部连接	HTTPS 隐藏具体页面；服务域名本身正常
云 API 双向通信	日历、云盘、邮箱、消息 API 承载命令和结果	无业务需求的 API；可见的恶意账号或资源	异常调用、罕见进程访问、租户和账号异常	单看域名不能识别账号或命令
隧道和中继	Cloudflare Tunnel、ngrok 或自建隧道连接外部	未批准服务、应用、目的地和端口	新的长期连接、隧道进程、新外部中继	不需要开放入站端口；可用 TCP 443
合法远程管理工具	RMM、远程桌面客户端接收操作	未批准工具及服务；限制获批设备	首次出现的远程管理、异常会话或账号	工具可改名；自建服务器没有固定厂商域名
Tor、代理和 VPN	多段中继隐藏最终控制服务器	已知入口、未批准代理和 VPN 应用	未批准中继、持续连接、跨规则回退	桥接和自建服务可绕过静态清单
P2P 和覆盖网络	设备直接通信，或借中继交换命令	不必要的 P2P、未批准覆盖网络	多个罕见节点、异常 UDP、外部中继	域名阻塞可能找不到控制服务器
邮件、消息代理、文件协议	SMTP/IMAP、MQTT/XMPP、FTP 等传命令	无需求的外部端口；限定批准服务器	外部邮件服务器、首次消息代理、协议与设备用途不符	同类协议也能使用 HTTPS 或非标准端口
原始 TCP/UDP、ICMP	自定义协议或报文传命令	不必要的协议和外部端口	异常协议、固定大小报文、罕见外部主机	IP 直连不需要 DNS；正常诊断也用 ICMP
内部代理、内部 C2、入站控制	一台设备替其他设备通信；攻击者操作公开服务	内网访问范围、暴露服务、未批准端口	新的横向连接、内部中继、服务异常访问	同一 VLAN 的流量可能不经过网关

1.3 趋势一：自建服务器仍是主体，份额在降

Recorded Future 的 2025 年回顾显示，Cobalt Strike 仍是检测到最多的攻击框架，约占攻击工具 C2 服务器的一半，但份额连续两年下降。Metasploit、Mythic 保持位置，RedGuard、Ligolo、Supershell 增长。AsyncRAT 和 QuasarRAT 继续领跑远程木马。³⁴

同一报告对 2026 年的判断是：变化来自渐进调整，攻击者会继续借用合法工具、服务和 CDN，把恶意流量混进正常流量。³⁴ 2026 年上半年的后续报告确认了这个方向：Hive0163 用 AI 生成的 C2 框架 NodeSnake，Interlock RAT 则通过 WebSocket 连接硬编码地址。³⁵

这类自建 C2 是网络限制最能覆盖的部分。已知指标、罕见目的地和连接节律都有效。

1.4 趋势二：云服务 API 成为控制通道

2025-05
TOUGHPROGRESS 使用 Google Calendar。程序读取活动描述中的命令，把结果写进其他活动。Google 报告。¹⁹
2026-05
EchoCreep、GraphWorm。Webworm 组织放弃旧工具，改用两个 Go 后门：EchoCreep 用 Discord 频道收发命令，GraphWorm 用 Microsoft Graph API 在攻击者自己的 OneDrive 租户里为每个受害者建文件夹。ESET 报告。³⁶
2026-07
TELESHIM 使用 Telegram API。Zscaler 报告。²⁰
2026-07
HOLLOWGRAPH 用 Microsoft 365 日历活动接收命令，用 DNS 通道刷新凭据。Group-IB 报告。³⁷
2026-08
TWINLOOT 用 SharePoint Online 下发任务，用 Teams 的 TURN 中继做交互，并借受害者本机的 Edge 浏览器发出 Graph 请求。Ontinue 报告。³⁸
2026-09
CHOSEN BRICK 为每个受害者使用独立的 Telegram Bot。NCSC、FBI 和 AIVD 联合报告。²¹
2026-10
Antino。Outlook 邮件承载命令和响应，OneDrive 承载注册、状态、窃取的文件和工具。到 2026 年 7 月，约 350 台终端受影响。Cisco Talos 报告。³⁹

这些案例的共同点：网络只看到 graph.microsoft.com、api.telegram.org 或 discord.com。租户、账号、Bot ID 和内容都在加密之内。TWINLOOT 借用正常浏览器进程，连终端进程归因也变难。

1.5 趋势三：隧道、远程管理工具和覆盖网络

Red Canary 的 2026 年检测报告分析了超过 11 万起威胁。它把 RMM 列为 2025 年最常见的载荷之一，尤其是在诱导用户粘贴命令的攻击之后。AnyDesk、QuickAssist、SimpleHelp 出现在勒索软件加密之前。2026 年初，ScreenConnect 和 NetSupport Manager 位列滥用榜首。^40,41

2026 年 9 月，Microsoft 报告 Storm-2570 使用多种 RMM，并配合 ngrok 和 Cloudflare Tunnel。²² 2026 年 8 月，Microsoft 的 TerminalFix 分析记录了 Python 反向隧道，通过加密 WebSocket 转发 TCP 流量。¹⁵

2026 年 9 月，Malwarebytes 报告 Kothamine 使用 tailcat。tailcat 借助 Tailscale 的数据通道，包括 WireGuard、NAT 穿透和 DERP 中继，不走常规的账号控制流程。²⁵

这类通道的特点是：不需要开放入站端口，可以走 TCP 443，而且与企业自己批准的工具共用服务。企业允许 Tailscale 或 AnyDesk，并不等于允许所有同类通道。

1.6 趋势四：地址来源公开化

2025 年，Google 报告朝鲜攻击者采用 EtherHiding，把下一段程序和控制地址写进区块链合约。读取既可以通过 RPC 节点，也可以通过集中式区块浏览器 API。⁴ 这种设计让攻击者不必维护域名。阻塞一组 RPC 域名后，攻击者换提供商或换链即可。

MITRE 把这类方式归为 Dead Drop Resolver。⁵ 公共博客、代码仓库、社交帖子都能充当地址来源。

1.7 跨类别的隐藏手段

DGA：程序生成大量域名，寻找可用控制地址。
Fast flux：一个域名快速更换 IP 或名称服务器。2025 年 4 月的联合公告把它列为防御缺口。²⁶
动态 DNS：域名随设备地址变化。
CDN、Serverless：控制服务藏在正常托管平台后面。
Domain fronting：可见名称与实际请求目的地不同。¹⁰
ECH：加密 ClientHello 中的真实服务器名。外部设备只能看到共享名称。²⁷
多层加密：BRICKSTORM 先建 HTTPS，再升级 WebSocket，再在通道内增加 TLS 并复用多个数据流。即使解密外层，内层仍是密文。¹⁶
内容隐写：图片、文本和文件都能藏指令。^7,15

合法 CDN 也会更换 IP，低 TTL 不能单独证明 fast flux。ECH 本身不是恶意行为。这些手段抬高了网络层单独判断的难度。

第二部分：企业应在网络上做的限制

2.1 原则

规则按设备类别分组。员工设备、访客、IoT、服务器、开发设备各有独立规则。
例外必须指定设备、目的地、负责人和到期时间。
IPv4 与 IPv6 采用相同策略。
允许规则先于阻塞规则生效。检查已有的“允许所有”规则。
每条阻塞都记录日志。阻塞而不记录，等于放弃了最便宜的报警信号。
规则只适用于经过网关的流量。离开办公网络的笔记本，需要设备上的 DNS 过滤或网络代理。

2.2 阻塞规则

10 条阻塞规则，按部署顺序排列
顺序	规则	动作	例外和检查
1	员工设备 → 指定 DNS	允许 TCP/UDP 53；如采用加密 DNS，允许指定服务	包括 IPv6；保留内部域名解析
2	员工设备 → 其他外部 DNS	阻塞 TCP/UDP 53，并记录	检查网关重定向与日志归因
3	员工设备 → 未批准加密 DNS	阻塞 TCP/UDP 853；阻塞已知 DoH 服务	获批的离网 DNS 代理需例外
4	无需求的区块链 RPC、链上 API	域名阻塞并记录	开发或钱包设备单独审批
5	员工设备 → 外部 TCP/UDP 7844	阻塞并记录	获批 Cloudflare Tunnel 设备单独允许
6	未批准隧道、RMM、VPN、代理	应用与域名规则；具备准确指标时加 IP 规则	自建服务仍需行为检测
7	外部 SMB、RDP、FTP、消息代理	无业务需求时阻塞并记录	常见端口 445、3389、21、1883、8883；端口不是完整清单
8	外部 SSH、邮件协议	只允许批准目的地	SSH、邮件客户端和开发设备有正常需求
9	横向网络访问	员工、IoT、访客、管理网分段；按服务允许	不能假定不同 VLAN 自动隔离
10	UDP 443	先测试，再决定阻塞	可让部分 HTTP/3 回退 TCP；可能影响其他正常服务

第 1 到 3 条是 DNS 控制。阻塞 853 只能处理常规 DoT 和 DoQ。DoH 走 TCP 443，也可经 HTTP/3 走 UDP 443，任何 HTTPS 服务都能转发 DNS。所以要同时限制外部 53、已知 DoH 服务，并记录设备连接多个解析服务的行为。^1,2,3

第 5 条针对 Cloudflare Tunnel。官方文档列出标准连接端口 TCP/UDP 7844。阻塞两者可阻塞标准 cloudflared，不需要阻塞整个 Cloudflare 网络。²³ 但 ngrok 官方说明其代理可走 TCP 443，所以端口规则不能覆盖所有隧道。²⁴

第 10 条只用于减少加密 UDP 的检测缺口，不是通用 C2 规则。WebSocket、DoH 和 VPN 仍可使用 TCP 443。

对服务器和 IoT，逐步采用目的地允许清单。对工程师的通用电脑，先收集业务基线。只允许 80/443，无法识别借用这两个端口的 C2。

2.3 服务清单的处理方式

不要把合法服务直接加入恶意清单。滥用要按业务需要处理。

常被滥用的服务，以及对应的处理策略
对象	建议策略	原因
已确认恶意域名、IP	阻塞；立即报警	属于具体威胁指标；仍需检查指标期限
区块链 RPC 与链上读取 API	先列实际使用的域名，无需求时阻塞；查询触发调查	提供商和链可替换；覆盖区块浏览器 API
`api.telegram.org`	仅允许批准的机器人和自动化设备	减少 Bot API 滥用；需验证已有集成
Discord	无业务需求时阻塞；有需求时限制到批准设备	EchoCreep 等后门用频道收发命令
Cloudflare Tunnel 中继	无需求时阻塞 7844；补域名策略	代理中继与公开网页地址不同
ngrok	无需求时阻塞服务；开发设备定期例外	使用 TCP 443；支持自定义域名
Tailscale、其他覆盖网络	限定批准设备和应用；检测未批准程序	合法服务可承载恶意通信
AnyDesk、TeamViewer、ScreenConnect、NetSupport、SimpleHelp、MeshCentral 等	只保留批准工具；监测新实例	商业服务和自建服务器均可用于控制
GitHub、Google、Microsoft 365、Cloudflare、云存储	保留业务需要；关联行为和账号日志	整域或整段 IP 阻塞影响面大
新注册域名、动态 DNS	先报警；高限制网络可阻塞并加例外	正常服务也使用这些域名

ThreatFox 提供已知恶意指标，SSLBL 提供恶意 TLS 连接相关指标。^32,33 信誉库有时间差。共享云 IP、失效 IP、转移后的域名，避免永久阻塞。

每个指标至少记录：来源、首次发现时间、最后核查时间、失效时间、匹配范围和业务例外。

2.4 网关能做和不能做的事

常见企业网关的能力边界
能力	常见网关能做	对本方案的影响
DNS 过滤	按网络或设备阻塞域名	适合阻塞无需求服务；不能替代 HTTPS 内容检测
IDS/IPS	签名检测；IPS 可阻塞命中流量	开启并维护；未知协议和加密内容仍有缺口
应用识别	按流量特征识别常见应用	能标记已知 RMM、VPN、隧道；改名或自建服务可能漏
流量记录	记录经过网关的会话	可查端口、字节数、时长；长连接需检查记录时机；记录数有上限
TLS 解密	只有部分型号支持，且需要在终端安装证书	多数中小企业网关不支持；即使支持，内层加密仍不可见

“深度包检测”不等于“TLS 解密”。开启应用识别和 IPS，不会让网关读到加密 URL、Bot Token、日历内容或 JSON-RPC 方法。^1,6,28,29

部署前确认阻塞事件和 DNS 查询能否导出到日志分析服务，字段是否包含查询域名、设备地址、动作和规则。不能假定所有事件都能完整导出。要生成测试事件，再检查接收端。⁶

2.5 建议的部署结构

五个部件的职责分工
部件	职责	需要的证据
网关	阻塞不需要的通信；IPS；网络分段	规则命中和流量记录
公司 DNS 解析器或保护型 DNS	域名信誉、RPC 清单、完整 DNS 查询日志	原设备身份、查询名、响应、阻塞原因
日志分析服务	合并记录；去重；关联；发送报警	报警记录和送达时间
网络传感器	DNS、连接、TLS 元数据、协议分析	Zeek/Suricata 日志及捕获丢包情况
终端防护与管理	进程归因；限制代理和 DNS 设置；应用控制	进程路径、签名、父进程、外部连接

先用现有日志分析服务。缺少 DNS 行为分析时，再增加传感器。Security Onion 可接收网关事件，也可通过镜像流量运行 Zeek 和 Suricata。^30,31

传感器应接收 LAN 侧的双向流量。只监测 WAN，NAT 后容易丢失原设备身份。只镜像网关上联，会漏掉同一交换机内的设备通信。镜像流量不会解密 TLS。采集和分析放在独立设备上。

Red Canary 把应用控制列为治理 RMM 的第一步：批准清单之外的 RMM 一律禁止执行。⁴¹ 这一步在终端完成，网络只能补充。

2.6 建议部署的 10 条报警

以下是起点，不是经过测试的标准。每条报警应说明数据来源。没有对应字段时，不应声称规则已运行。

10 条报警的条件、级别、数据要求和处理
ID	条件	初始级别	必需数据	处理
C2-01	命中有效的已知 C2 指标或高置信 IPS 签名	高	DNS、IPS 或连接日志	阻塞；调查设备；确认后隔离
C2-02	员工设备查询禁止的 RPC 或链上 API	中有其他异常时升高	DNS 查询及设备身份	查终端进程和后续连接
C2-03	设备尝试外部 DNS、853 或未批准 DoH	中	防火墙、DNS、应用识别	区分设置错误与恶意回退
C2-04	设备在 1 小时内访问至少 3 个未批准 DoH 服务	中	可识别解析服务的连接数据	排除获批浏览器设置；调查回退
C2-05	设备向同一注册域发出异常编码子域名查询	中	完整 DNS 查询	结合名称长度、变化率、查询类型和业务基线
C2-06	罕见外部目的地出现反复小流量通信	中	非采样连接记录或传感器	关联 DNS 信誉、设备用途和进程
C2-07	未批准隧道、RMM、VPN 或覆盖网络首次出现	中伴随命令执行时升高	应用识别、连接和终端日志	核对例外；阻塞未批准通信
C2-08	设备访问异常公共内容后，建立罕见外部连接	中	代理或终端日志、DNS、连接	检查地址解析链和下载行为
C2-09	脚本或未知程序反复访问消息、日历或云存储 API	高或中，按进程证据	终端进程加代理或 DNS	检查签名、父进程、计划任务和账号
C2-10	一个控制通道被阻塞后，设备短时改用其他服务	高或中，按关联证据	多种日志及统一设备身份	合并为一个事件；调查设备

C2-04 参考 BRICKSTORM 的多 DoH 检测思路。¹⁸ 数量和时间窗口需按业务调整。

C2-05 可先用观察条件：10 分钟内，同一设备对同一注册域查询至少 100 个不同子域名，至少一半含超过 40 个字符的标签。它只产生调查信号，低速 DNS C2 不一定触发。不要阻塞全部 TXT，邮件验证需要 TXT。CDN、反垃圾邮件和安全软件也会产生类似流量。^8,17

C2-06 可先检查 1 小时内至少 20 次小连接，目的地在近 14 天基线中罕见。再检查间隔规律性和传输大小。定时更新、安全软件和监控程序需要排除。长连接用另一条条件，例如持续 30 分钟且目的地罕见。

不要只按流量大报警，命令通道可以很小。不要只按固定间隔报警，攻击者可以改变间隔。不要把共享 CDN 的 IP 稀有度当成域名稀有度。

报警按“设备＋规则＋目的地”去重，同类事件 15 分钟内合并。高置信事件立即通知值班人，其余进入调查队列。自动隔离只用于已验证的高置信规则。

2.7 日志字段与留存

必须保留：

时间、时区和设备唯一标识。
原始客户端 IP、VLAN 和当时的地址归属。
目标 IP、端口、协议、字节数和连接时长。
查询域名、查询类型、响应码；可用时保留响应地址。
允许或阻塞动作、命中规则、IPS 签名和指标来源。
有终端日志时，保留进程路径、签名和父进程。

MAC 地址不能独自保证稳定身份。DHCP 变化、IPv6 隐私地址和设备代理都影响归因。

先保留 30 天可查询日志，再按容量、调查需要和隐私要求扩展到 90 天。网关自身的记录数上限不能直接换算成天数。采样流量记录适合看趋势，不保证保留每次短连接。

监测日志停止、设备时间偏移和镜像丢包。数据源失效时，产生单独的监测报警。没有报警不等于没有通信。

2.8 部署次序

核对网关版本、存储和日志导出。用自有测试域名生成允许与阻塞事件，确认接收端能查到设备、域名、动作和规则。
建立 DNS 控制。指定公司解析器，阻塞其他外部 DNS，处理未批准的加密 DNS。验证 IPv4 与 IPv6 结果一致，内部域名正常。
阻塞低影响服务。无需求的 RPC、未批准的 7844 隧道、未批准 RMM 和远程访问。每类阻塞都有记录，每个例外都有范围和到期时间。
收集 7 到 14 天行为基线。标记合法更新、浏览器、机器人、CI 和远程支持。规则先只产生调查事件。减少误报时用具体设备和目的地例外，不整体关闭规则。
启用通知与响应。高置信命中即时通知，行为异常进入队列，日志中断单独报警。高置信事件建议 5 分钟内送达。

2.9 验收表

以下测试只使用自有服务或批准的测试服务。不连接真实 C2，不下载恶意样本。

13 项无恶意程序的验收测试
测试	方法	必须看到的结果
域名阻塞	临时阻塞自有测试域名；请求根域与子域	解析受阻；记录原设备和规则
外部普通 DNS	测试机向外部解析器发 UDP/TCP 53 查询	阻塞或按设计重定向；有证据
DoT、DoQ、DoH	用批准测试客户端请求批准与未批准服务	结果分别符合允许和阻塞规则
IP 直连	用预先记录的自有服务器 IP 建立 HTTPS	展示 DNS 阻塞的边界；其他策略结果符合设计
IPv6	通过自有 AAAA 记录重复测试	策略与 IPv4 一致；设备可归因
Cloudflare Tunnel	在隔离测试设备使用批准测试隧道	阻塞 TCP/UDP 7844 后，标准代理不能建立连接
DNS 行为规则	向自有域名发有限的合成查询	C2-05 调查事件出现
周期连接	向自有服务器发有限的定期小请求	行为事件出现；正常监测例外生效
云 API	让批准脚本访问测试资源	网络日志能归因；确认是否具备路径和进程信息
长连接	向自有服务保持测试连接	证明长连接记录与通知的实际延迟
内网通信	在同 VLAN 与跨 VLAN 各发受控请求	证明传感器和网关的实际可见范围
离开办公室	测试机使用手机热点	设备上的 DNS 或网络代理继续执行策略
通知	生成测试规则命中	值班人收到完整事件；重复事件合并

保留每项测试的时间、设备、规则、日志或截图。网络规则只能证明阻塞了测试通信，不能证明覆盖所有 C2。

2.10 可用的开源项目

开源项目分两层。一层提供已知恶意域名和 IP 的清单，另一层分析连接行为。没有一个项目覆盖全部 12 类，也没有项目能阻塞已允许云服务内的 C2。

10 个开源项目，以及它们覆盖的 C2 类别
项目	提供什么	覆盖的类别
ThreatFox（abuse.ch）	已知 C2 域名和 IP，hostfile 格式	有已知指标的自建 C2
HaGeZi TIF	聚合威胁情报清单，适配 Pi-hole、AdGuard Home、pfBlockerNG	恶意软件、钓鱼、部分 C2 和动态 DNS
LOLRMM	RMM 工具目录，含域名、IP 和 Sigma 规则；lolrmm.io 提供 API	远程管理工具滥用
LOLRMM-Actions	从 LOLRMM 自动生成的 `domains.txt` 和 `ips.txt`	同上，可直接加载
LOLC2	借用 Telegram、Discord、Graph API 等服务的 C2 框架目录	只提供检测思路。域名本身是合法服务
LOTS、LOTTunnels	被滥用的合法站点和隧道服务清单	ngrok、Cloudflare Tunnel 等，作参考清单
Suricata 加 ET Open 规则	签名检测，可在网关内联阻塞	已知 C2 签名
Zeek 加 RITA	Zeek 记录连接和 DNS；RITA 对信标、长连接、DNS 通道和罕见目的地打分	报警 C2-05、C2-06 所需的行为分析
Security Onion	把 Zeek、Suricata 和日志平台打包成一套	传感器和日志分析
Velociraptor	基于 LOLRMM 数据的终端取证规则	终端侧识别 RMM

清单类项目接入 DNS 过滤器（Pi-hole、AdGuard Home、Technitium、Blocky）或防火墙清单（pfSense 加 pfBlockerNG、OPNsense）。常见做法是在一个通用清单之上，叠加 ThreatFox 和 URLhaus 的 hostfile 作为恶意软件层。^42,43,44

RITA 读取 Zeek 日志，输出的目的地可以写入 DNS 的 RPZ 区域，在解析器上阻塞。它需要每对地址有足够多的连接才能打分，低速通道会漏。^45,46

加载 RMM 清单前，先减去公司批准的厂商。^47,48 LOLC2 记录的服务与正常办公用同一域名，它不能生成阻塞清单。⁴⁹

自行维护区块链 RPC 域名不在任何维护中的公开阻塞清单里。这份清单需要自己维护，2.11 给出起点。

一套可用的开源组合是：DNS 过滤器加载 ThreatFox、HaGeZi TIF 和 LOLRMM 域名清单；网关内联运行 Suricata；LAN 侧镜像流量交给 Zeek 和 RITA，产生 C2-05 和 C2-06 报警。

2.11 区块链 RPC 与链上数据域名

恶意程序读取链上数据有三条路径：公共 RPC 服务商、各链官方节点、区块浏览器和索引 API。Google 的 EtherHiding 报告指出，攻击者既用 RPC，也用集中式 API。⁴ 阻塞清单要三类都覆盖，测试网也要覆盖。

公开案例中出现过的链和端点：

使用链上数据寻址或存放载荷的公开案例
案例	链	报告中出现的端点	用途
Glupteba（2021）	Bitcoin	报告未写明读取所用的 API	主 C2 失联后，从 3 个钱包最新交易的 OP_RETURN 读取备用 C2 域名⁶³
UNC5142 / CLEARFAKE（2023 至 2025-07）	BNB Smart Chain	第三方 RPC 节点	合约存放第二段 JavaScript；后期拆成 3 个合约⁵³
ClearFake（2025 至 2026）	BSC 测试网	`bsc-testnet-rpc.publicnode.com`、`bsc-testnet.drpc.org`、`data-seed-prebsc-1-s1.binance.org`、`data-seed-prebsc-2-s1.binance.org`、`data-seed-prebsc-2-s2.binance.org`、`bsc-testnet-dataseed.bnbchain.org`、`bnb-testnet.api.onfinality.io`	合约存放载荷和受害者追踪；新版同时查询全部端点，取第一个有效结果^54,55
UNC5342 / XCTDH（2025-02 起）	TRON、Aptos、BSC、Ethereum	`api.trongrid.io`、`fullnode.mainnet.aptoslabs.com`、`bsc-dataseed.binance.org`、`bsc-rpc.publicnode.com`	TRON 存索引，Aptos 作备用索引，BSC 存载荷；2026-09 新增以太坊转账地址编码 C2 的 IP 和端口^4,56,57,58
GlassWorm（2025-10 至 2026-05）	Solana	9 个公共 RPC 端点轮询；本文引用的报告未列出主机名	交易 memo 存放下一段载荷地址；2025-11 至 2026-03 更新 50 次以上；2026-05 被联合打掉^59,60
macOS 植入程序（2026）	Polygon	报告未写明	从合约读取 C2 地址，约每周更换一次⁶¹
Acreed 窃密程序	BSC 测试网	报告未写明	投递载荷和追踪受害者⁶²

这些案例给出四条阻塞要求：

测试网与主网同样阻塞。ClearFake 选 BSC 测试网，一个原因是测试网没有交易费。⁵⁴
按服务商整体阻塞，不按单个端点阻塞。ClearFake 新版并行查询 7 个端点，GlassWorm 轮询 9 个。
非 EVM 链要单独列。TRON、Aptos、Solana、Bitcoin 不在 EVM 链注册表里。
攻击用过的端点要手工补进清单。BNB Chain 的注册信息已改用 bnbchain.org，两份注册表里 binance.org 的条目都是 0，但 XCTDH 和 ClearFake 仍在查询 binance.org 的节点。

EVM 链的公共 RPC 有两份开源注册表。本文在 2026-10-07 拉取两份数据，提取主机名，按注册域名归并：^51,52

EVM 公共 RPC 注册表的规模（数据截至 2026-10-06 的提交）
数据源	链	RPC 主机名	注册域名
ethereum-lists/chains	2,796	3,519	1,791
DefiLlama/chainlist（extraRpcs.js）	未统计	1,802	未统计
两者合并去重	未统计	4,638	2,045

长尾很长。ethereum-lists 的 1,791 个注册域名里，1,102 个只服务一条链，多为各链自己的节点。下表 12 家多链服务商合计 669 个主机名，约占合并数据的 14%。

合并数据中主机名最多的多链 RPC 服务商
注册域名	主机名数	备注
`drpc.org`	191	ClearFake 使用；原 Polygon 案例使用
`publicnode.com`	70	ClearFake、XCTDH 使用
`tatum.io`	68
`onfinality.io`	49	ClearFake 使用
`pocket.network`	42
`blastapi.io`	41
`tenderly.co`	39
`sentio.xyz`	38
`therpc.io`	38
`alchemy.com`	32	同域有公司官网
`dwellir.com`	31
`nodies.app`	30

主机名数只反映注册表的写法，不代表服务商支持多少条链。ankr.com 只有 5 个主机名，但用路径区分链，在 ethereum-lists 里服务 34 条链。其他常见服务商的主机名数：bnbchain.org 13、infura.io 12、blockpi.network 12、quiknode.pro 9、chainstacklabs.com 7、lava.build 7、nodereal.io 6、1rpc.io 3、getblock.io 2。llamarpc.com 和 binance.org 不在注册表里，需要手工补。

非 EVM 链和区块浏览器 API 不在上述注册表里，下表单独列出：

非 EVM 链官方端点与链上数据 API
链或服务	主机名	阻塞粒度	依据
Solana	`api.mainnet-beta.solana.com`、`api.mainnet.solana.com`、`api.devnet.solana.com`、`api.testnet.solana.com`	主机名；`solana.com` 是官网	官方集群文档⁶⁵
TRON	`api.trongrid.io`、`api.shasta.trongrid.io`、`nile.trongrid.io`；浏览器 API `apilist.tronscanapi.com`	注册域名 `trongrid.io`、`tronscanapi.com`	TronGrid 文档；XCTDH 使用^66,56
Aptos	`fullnode.mainnet.aptoslabs.com`、`api.mainnet.aptoslabs.com`；测试网 `fullnode.testnet.aptoslabs.com`、`fullnode.devnet.aptoslabs.com`	主机名；`aptoslabs.com` 是官网	主网端点见 XCTDH 报告；测试网按官方命名推断，待确认⁵⁶
Sui	`fullnode.mainnet.sui.io`、`fullnode.testnet.sui.io`、`fullnode.devnet.sui.io`	主机名；`sui.io` 是官网	官方 RPC 文档⁶⁷
TON	`toncenter.com`、`testnet.toncenter.com`、`tonapi.io`	注册域名	TON 文档⁶⁸
Bitcoin 浏览器 API	`blockstream.info`、`mempool.space`、`blockchain.info`、`api.blockcypher.com`	注册域名	常见公共 API；Glupteba 未写明所用 API，本表作候选
EVM 区块浏览器 API	`api.etherscan.io`；旧版 `api.bscscan.com`、`api.polygonscan.com`	主机名；浏览器网站可保留	Etherscan V2 用一个端点覆盖 60 多条链；V1 于 2025-08-15 弃用⁶⁴
其他链上数据服务	`blockscout.com`、`oklink.com`、`covalenthq.com`、`moralis.io`、`bitquery.io`、`thegraph.com`	注册域名	常见索引和数据服务；本文未逐个核对 API 主机名，待确认

建议的处理方式：

先阻塞攻击用过的主机名，并对它们设 C2-02 报警。清单见下方第一个折叠块。
再按注册域名阻塞多链服务商和 RPC 专用域名。官网与 API 同域的项目，如 solana.com、sui.io、aptoslabs.com、alchemy.com，无业务需求才整域阻塞，否则按主机名阻塞。
注册表里有噪声。合并数据把 github.com 和 www.cloudflare.com 也列为 RPC 主机名，本文已删除。另有 5 个主机名在共享平台上，4 个在 workers.dev，1 个在 net.ru，只能按完整主机名阻塞。
不做 IP 阻塞。这些服务大多在 CDN 后面，IP 与其他网站共用。
每周从两份注册表重新生成清单。两份注册表每天都有提交。
开发和钱包设备单独放行，例外按 2.2 的规则写明设备、负责人和到期时间。

限制DNS 阻塞挡不住自建节点、IP 直连和设备自带的加密 DNS。攻击者也可以改用不在清单里的新链。清单只降低风险，报警比阻塞更重要。

攻击报告中出现过的主机名（优先阻塞并报警）

api.trongrid.io
fullnode.mainnet.aptoslabs.com
bsc-dataseed.binance.org
bsc-dataseed1.binance.org
bsc-dataseed2.binance.org
bsc-dataseed3.binance.org
bsc-dataseed4.binance.org
bsc-rpc.publicnode.com
bsc-testnet-rpc.publicnode.com
bsc-testnet.publicnode.com
bsc-testnet.drpc.org
bsc-testnet-dataseed.bnbchain.org
bnb-testnet.api.onfinality.io
data-seed-prebsc-1-s1.binance.org
data-seed-prebsc-2-s1.binance.org
data-seed-prebsc-2-s2.binance.org

完整注册域名清单（2,064 个，含非 EVM 和攻击补充项）

01no.de
0base.dev
0g.ai
0xblockswap.com
0xhash.io
0xl3.com
0xrpc.com
0xrpc.io
0xtchain.com
1000x.ch
1971.network
1money.network
1rpc.io
3sps.net
48.club
4everland.org
5ire.network
6dochain.com
aah.name
aarmarpc.com
ab.org
abeychain.com
abs.xyz
abyssprotocol.ai
aca-api.network
aca-staging.network
acala.network
accesscan.io
accesschain.org
accesschainapp.site
accumulatenetwork.io
acria.ai
actionblockchain.org
acuteangle.com
adftechnology.com
adifoundation.ai
adilchain-rpc.io
adiri.tel
aeon.xyz
aere.network
aeredium.io
aerielab.io
aerochain.id
aevachain.app
aevachain.com
agentlayer.xyz
agoranodes.com
aiachain.org
aiechain.io
aifisc.io
aifiv2.ai
ailayer.xyz
aioz.network
aiw3.io
akroma.io
akroma.org
alaya.network
alchemy.com
aldebaranode.xyz
aldrickb.xyz
algen.network
alienxchain.io
alkadeta.com
allthatnode.com
allthingslemon.io
alltra.global
alpen.org
alpenlabs.io
alph.network
alphab.ai
alphabetnetwork.org
alt.technology
altblockscan.com
althea.zone
altlayer.io
altscan.org
alvey.io
alyxchain.com
ama.one
amaxchain.io
ambros.network
ambrosus-test.io
ambrosus.io
amchain.net
amechain.io
amstarscan.com
amxrpc.link
analog-rpc.com
ancient8.gg
anduschain.io
anime.xyz
animechain.ai
ankara-cagacrypto.com
ankr.com
anomalygames.io
ansybl.io
antofy.io
antrixy.org
anwang.com
anytype.io
apechain.com
apertum.io
apexfusion.org
apexlayer.xyz
api3.org
apolloscan.io
apothem.network
appchain.xyz
applayer.com
aptoslabs.com
aquacha.in
arabianchain.org
arbitrum.io
arc.io
arc.network
arcology.network
arcturuschain.io
ardenium.wiki
ardescan.com
arena-z.gg
areon.network
areum.network
arianee.net
ark.io
armascan.io
arrowrpc.com
artela.network
arthera.net
artis.network
arvix.network
arzio.co
ascscan.io
ashchain.io
assetchain.org
astar.network
asterium.uz
astranaut.dev
astranaut.io
astria.org
ata.network
aternoschain.com
atgraphite.com
atheios.org
athenescan.io
atl.network
atlantischain.network
atleta.network
atoshi.io
atoshinetwork.xyz
au.cc
aultblockchain.xyz
aura.network
auranode.xyz
aurora-cloud.dev
aurora.dev
autheo.com
autobahn.network
autonity-apis.com
autonomys.xyz
autostake.com
autyon.io
auxilium.global
ava.do
ava.network
avastar.cc
avax-test.network
avax.network
avenium.io
avescoin.io
aviaone.com
avicoin.org
axonfinance.xyz
b2-rpc.com
b3.fun
backstop.technology
bahamut.io
bahamutchain.com
banascan.com
banelabs.org
banteng.asia
base.org
baseazul.dev
basedaibridge.com
battlechain.com
bccloud.net
bchscan.io
bcsdev.io
bdagexplorer.com
beagle.chat
beamrpc.com
bearnetwork.net
beefledgerwallet.com
beonechain.com
beonescan.com
berachain-apis.com
berachain.com
berylbit.io
bescscan.io
betaxchain.org
bethel.network
bethscan.io
bevm.io
bexchain.com
bh.rocks
bharatblockchain.io
bie.ai
bifrostnetwork.com
bighive-beets.io
bigsb.io
bigsb.network
binance.org
binarychain.org
bionixnetwork.com
birdlayer.xyz
bit-rock.io
bit.diamonds
bitassetchain.io
bitchain.biz
bitci.com
bitcichain.com
bitcoincode.technology
bitcoinevm.com
bitcoinevm.org
bitfinity.network
biticablockchain.com
bitindi.org
bitkubchain.io
bitlayer-rpc.com
bitlayer.org
bitnet.money
bitnetmoney.com
bitquery.io
bitroot.co
bitstack.com
bittexscan.info
bittorrentchain.io
bityuan.com
bizex.io
blackfort.network
blast.io
blastapi.io
blastblockchain.com
blastchain.org
blgchain.com
block-spirit.ch
blockchain.info
blockchain.or.th
blockcypher.com
blockeden.xyz
blockex.biz
blockfitscan.io
blockhub.id
blockhunters.org
blockmachine.io
blocknative.com
blockpi.io
blockpi.network
blockrazor.io
blockrazor.xyz
blockscout.com
blockstream.info
blocktonscan.com
blockxnet.com
bloomgenesis.com
bloxberg.org
bloxroute.com
bluchain.pro
blx.org
blxq.org
blxrbdn.com
blxscan.com
bmcchain.com
bnbchain.org
bnken.net
boar.network
boba.network
bombchain.com
bool.network
boraportal.com
boraportal.io
bosagora.org
botanixlabs.com
botanixlabs.dev
botchain.ai
bouncebitapi.com
boyaa.network
boyanet.org
bpxchain.cc
brainark.online
brcchain.io
brisescan.com
brochain.org
brockrpc.io
bronos.org
bscrpc.com
bscscan.com
bsquared.network
bstchain.io
bt.io
btachain.com
btcix.org
btcprotocol.io
btcs.network
btcw.tech
bthscan.io
btn-network.org
btn.network
btnscan.com
buildbear.io
buildintheshade.com
buildonhybrid.com
buildwithtoki.com
bullionsx.org
buycex.net
bycrpc.com
c4ei.net
c8ntinuum.com
c8ntinuum.io
c8ntinuum.link
ca-dag.work
cadaut.com
caduceus.foundation
cagamainnet.com
caldera.xyz
calderachain.xyz
callisto.network
callistodao.org
callstatic.com
callstaticrpc.com
camdl.gov.kh
camelark.com
camino.network
candle-rpc.com
candychain.io
canxium.net
canxium.org
capitalexchange.com
capitalexchange.digital
carbon.network
carbonium.network
carrchain.io
cartenz.works
cascadia.foundation
catechain.com
catenarpc.com
cchain.cc
cedalio.dev
celestium.network
celo-testnet.org
celo.org
celocolombia.org
cemchain.com
centrality.me
centrifuge.io
ceremonies.ai
chadchain.org
chain.link
chain.love
chain49.com
chainanalytics.org
chainbase.com
chaingames.io
chainpulse.cc
chainrpc.com
chainstack.com
chainstacklabs.com
chainup.net
chainupcloud.com
chainverse.info
chainx.org
chakrachain.io
chandrastation.com
cheapeth.org
checkdot.io
cheeseblockchain.com
cheesechain.xyz
cheesescan.com
chiadochain.net
chiliz.com
chips.ooo
choochain.io
cicscan.com
cipherem.com
citrate.ai
citrea.xyz
citronus.com
ckbapp.dev
clawcoin.com
cloudflare-eth.com
cloudtx.finance
clover.finance
cmxofficial.com
cndlchain.com
cntrfg.com
co2e.cc
co2ledger.xyz
codefin.pro
codeupp.xyz
codex-stg.xyz
codex.xyz
coinafrica.tech
coinbosa.com
coinex.net
coinsec.network
coinweb.io
coinzax.com
colossus.credit
combonetwork.io
commudao.xyz
compverse.io
condor.systems
conduit.xyz
conet.network
confluxrpc.com
consensys.net
contentfabric.io
coredao.org
corn-rpc.com
cosmicchain.site
cosmostation.io
coti.io
covalenthq.com
cpchain.com
cratd2csmartchain.io
creatorchain.io
creditcoin.network
creditsmartchain.com
cronos.org
crossbell.io
crynux.io
cryptocoinpay.info
cryptocurrencydevs.org
cryptos.com
cryptoxnetwork.io
crystaleum.org
ctexscan.com
cthscan.com
cube.network
cuckoo.network
cumulo.com.es
cumulo.me
curvescan.io
cybascan.io
cyber.co
cyberchain.xyz
cyberdeck.eu
cybertrust.space
cybria.io
cyclenetwork.io
cyphercore.io
cypherium.io
cytonic.com
d-bis.org
d-chain.network
d.energy
daaps-j4ran.cloud
dailycrypto.net
dancorescan.com
dannyscan.com
darwinchain.ai
darwinia.network
datachain.network
datagram.network
datahaven-mainnet.network
datahaven-testnet.network
datarpc.io
davinci.bz
dbcwallet.io
dbkchain.io
dbmbp.com
dcdao.box
dcnetio.cloud
dcpay.io
deamchain.com
debank.com
debounce.network
decentrabone.com
decentraconnect.io
decentralized-web.tech
decentrio.ventures
decimalchain.com
decubate.com
deelance.com
deeplnetwork.org
deepsafe.network
defi-oracle.io
defi-verse.org
defibit.io
degen.tips
degenprotocol.io
dehvo.com
deinfra.net
denergytestnet.com
denvion.com
deperp.com
depinscan.io
deptofgood.com
deriw.com
dev-universe-bank.com
devianttoken.net
devolvedai.com
devops.cash
dexilla.com
dexit.network
dexrouting.com
dexvaults.com
diadata.org
diamondswap.org
diamondz.baby
digitalnext.business
digitalregion.jp
digitsoul.co.th
dilithium3.com
dimai.ai
din.dev
diode.io
dioneprotocol.com
divchain.org
dkargo.io
dmm.com
docoin.shop
dogcoin.me
dogechain.dog
dogelayer.org
dogether.dog
doid.tech
dojima.network
doken.dev
doma.xyz
dome.cloud
donatuz.com
doric.network
dorsenscan.io
doschain.com
dotblox.io
dotone.network
dotters.network
dpu.ac.th
dracones.net
dracscan.com
dragonstake.io
drawchain.org
dreyerx.com
drpc.org
dscscan.io
dteam.tech
duckchain.io
dustproject.org
dwellir.com
dxchain.com
dynoprotocol.com
e-dollar.org
e-talk.xyz
eavscan.com
ebcscan.net
ebi.xyz
eclatscan.com
ecnascan.com
ecoball.org
ecredits.com
ecroxscan.com
edexa.com
edexa.network
edgeless.network
edgewa.re
egem.io
eggs.cool
egochain.org
egoldchain.com
egonscan.com
eh-dev.app
einc.io
eiob.xyz
ekaash.biz
ekta.io
elastos.io
elastos.net
electranetwork.tech
electroneum.com
eliberty.ngo
elk.finance
ella.network
ellaism.org
eluxscan.com
elysiumchain.tech
elysiumchain.us
emc.network
emoney.io
emoney.network
empirenetwork.io
energi.network
energyweb.org
engram.tech
eniac.network
eniacrpc.net
enirpc.com
enosys.global
entangle.fi
entercoin.net
envelop.is
eosargentina.io
eosnetwork.com
eosusa.io
eramscan.com
eraswap.network
erbie.io
escscan.com
esportsblock.org
esync.network
etc-network.info
etccooperative.org
etcdesktop.com
etcmc.xyz
eteria.io
ethdevops.io
ethercluster.com
etherfair.org
etherlink.com
etherlite.org
ethernitychain.io
etherscan.io
etherspot.io
ethiq.network
ethnova.net
ethoprotocol.com
ethos.cool
ethpandaops.io
ethpar.net
ethstorage.io
ethxy.com
eticaprotocol.org
eticascan.org
etins.org
etm.network
etnd.pro
etpscan.xyz
europool.me
eurus.network
evanesco.org
evascan.io
evedex.com
everstake.one
evex.cloud
evmnode.online
evmos.dev
evmos.org
evnode.org
evoexplorer.com
evokescan.org
evolveblockchain.io
evozscan.com
evrice.com
exlscan.com
exorium.net
exosama.com
exoscan.net
expanse.tech
expchain.ai
exsat.network
exzo.technology
ezchain.com
fantasiachain.com
fantom.network
fastblocks.io
fastexchain.com
fastnode.io
favoscan.com
fene.app
ferrumnetwork.io
fhenix.zone
fibo-api.asia
fibo-rpc.asia
fidesinnova.io
filefilego.com
filenova.org
filfox.info
filutils.com
final-de.fi
findora.org
finetry.win
firachain.com
firestation.io
firsttensor.com
flaexchange.top
flagscan.xyz
flamma.network
flare.network
flashbots.net
fluence.dev
fluent.xyz
fmcscan.com
fncy.world
fod.games
form.network
forma.art
foundryscan.org
fountainhead.cash
foxchain.app
foxxone.one
fractalai.net.co
frame.xyz
frax.com
freighttrust.net
frenscan.io
ftm.tools
ftnscan.io
ftso.au
fuga.blue
fullsend.to
functionx.io
funkichain.com
furtheon.org
furya.io
fuse.io
fusespark.io
fushuma.com
fusionist.io
fusionnetwork.io
g4mm4.io
gaiaopen.network
galactica.com
galadriel.com
game7.build
game7.io
gameswift.io
garizon.net
garnetchain.com
garudachain.id
gasswap.org
gatenode.cc
gateway.fm
gather.network
gaussgang.com
gblend.xyz
gcscan.io
gdccscan.io
gdprchain.com
geb.network
geekout-pte.com
gelato.cloud
gelato.digital
gembascan.io
gemchain.org
gemuchain.io
genechain.io
genesis-gn.com
genesisl1.org
genesys.network
genesyscode.io
genlayer.com
gesoten.com
getblock.io
getloop.network
gghyper.net
gigatheminter.com
giltestnet.com
gitagi.org
gitbook.io
gitshock.com
gitswarm.com
giwa.io
gl1infra.online
glidefinance.io
glideprotocol.xyz
glif.io
globalstake.io
glscan.io
glue.net
gmmtchain.io
gmnetwork.ai
gnodi.zone
gnosischain.com
goalpha.org
goat.network
gobbl.io
gobob.xyz
gochain.io
godwoken.io
gokite.ai
gold.dev
goldenratiostaking.net
goldsmartchain.com
goldxchain.io
gon.network
gonspool.com
goodata.io
gorengine.com
gptprotocol.io
gpu.net
graffiti.farm
grandvalleys.com
graphlinq.io
gravity.xyz
gravitychain.io
greenchain.app
greendinoswap.com
greyh.at
greymass.com
grid-mind.com
grokchain.dev
grove.city
grvt.io
gtbsblockchain.com
gtcscan.io
gton.network
guapcoinx.com
gunz.dev
gunzchain.io
gurunetwork.ai
gut.network
h-1.io
h2chain.io
haichain.io
hairylabs.io
halo.land
ham.fun
hammerchain.io
hanchain.cc
hap.land
happy.tech
haqq.network
haqq.sh
haradev.com
harmony.one
hashbit.org
hashio.io
hausserver.xyz
haust.app
haust.network
haven1.org
haymo.network
hazlor.com
hecochain.com
heima.network
helachain.com
helikon.io
helioschainlabs.org
hemi.network
hertzscan.com
hetu.org
hgraph.com
hgraph.io
hika.network
hipercapitalfinance.com
histori.xyz
hizoco.net
hmny.io
hokum.gg
homeverse.games
hoodrun.io
hoosmartchain.com
hostdefi.com
hpbnode.com
hpp.io
hsk.xyz
htmlcoin.com
htmlcoin.dev
htw.tech
huabeizhenxuan.com
hubble.exchange
huginn.tech
humanity.org
humanode.io
humans.zone
huobichain.com
hupayx.io
hybridchain.ai
hychain.com
hydrachain.org
hydradx.cloud
hydration.cloud
hyperagi.ai
hyperagi.network
hypercluster.org
hyperflow.finance
hyperliquid-testnet.xyz
hyperonchain.com
hypersync.xyz
hyperx.technology
hypr.network
hypra.network
hyvechain.com
ibp.network
ic-plaza.org
icbnetwork.info
icecreamswap.com
ichainscan.com
icplaza.pro
idcfengye.com
idchain.one
idn-rpc.com
idos.games
igralabs.com
iic-blockchain.com
ikchain.net
ility.xyz
immutable.com
imperator.co
imperiumchain.com
imversed.network
inan.in.th
inco.org
inertiascan.com
inevm.com
infinaeon.com
infura.io
inichain.com
initia.xyz
injective.network
inkonchain.com
innbcchain.io
innovatorchain.com
innovunode.io
inoai-network.com
instadapp.io
integralayer.com
interchained.org
intertrain.online
intuition.systems
iolite.io
iopn.tech
iorachain.com
iost.io
iota.org
iotaledger.net
iotex.io
iotex.one
iotexrpc.com
ipdc.io
iposlab.com
irisnet.org
irys.xyz
isuncoin.com
itaninetworkchain.com
ithaca.xyz
itrocket.net
itxchain.com
ivarex.com
j-node.net
j2o.io
jaihochain.com
jamton.network
janction.io
janusnetwork.io
japanopenchain.org
jasmyscan.net
jdubedition.com
jegotrip.net
jelliedowl.net
jellyfishsdk.com
jellypool.xyz
jfinchain.com
jfinpos.com
jibchain.net
jibl2.com
jinglex.net
jmdt.io
jnsdao.com
josephtran.xyz
jovay.io
joys.cash
joys.digital
juchain.org
jumbochain.org
juncachain.com
juneo-mainnet.network
kaia.io
kaichain.net
kakarot.org
kalarchain.tech
kaleido.io
kalia.network
kalychain.io
karak.network
kardiachain.io
karura.network
kaspaclassic.world
katana.network
katanarpc.com
katronai.com
kava-rpc.com
kava.io
kbcfoundation.com
kcc-rpc.com
kcc.network
keccak.io
kekchain.com
kenny-us-pool.com
khalani.network
kiivalidator.com
kingdomchain.observer
kinggamer.org
kingsuper.services
kinto.xyz
klc.live
klyntar.org
klyntarscan.org
knight.center
kode.ru
kon-wallet.com
konsortech.xyz
kore-technologies.ch
kortana.xyz
kortho-chain.com
kpachain.com
kpascan.com
krews.xyz
kriptoaman.com
kroma.network
krotho-test.net
krown.network
kultchain.com
kuma.bid
kwala.network
kymaticscan.online
kynraze.com
kyotochain.io
kyotoprotocol.io
l2aas.com
l2protocol.com
l3x.com
l7c.ai
lachain.io
lachain.network
ladyrpc.us
laikachain.dog
lambda.im
lambda.top
laosfoundation.io
larissa.network
latam-blockchain.com
latestcoin.io
lava.build
lavanet.xyz
layeredge.foundation
layeredge.io
lbry.nl
lcserve.net
lcserve.org
lemonchain.io
lens.dev
lens.xyz
lestnet.org
letsplayfair.ai
levko.io
li-fi-base.intustechno.workers.dev
li-fi-blast.intustechno.workers.dev
li-fi-redirect.intustechno.workers.dev
libertychain.org
liebi.com
lif3.com
lightlink.io
lightstreams.io
limonata.xyz
linea.build
linkpool.io
linkpool.pro
linksme.info
linqto-dev.com
liquichain.io
liquidchain.net
liquidlayer.network
liquify.com
liquify.io
lisinski.online
lisk.com
litermark.org
litheum.com
litho.ai
litprotocol.com
liveplex.io
livingassets.io
llamarpc.com
load.network
locachain.io
lokibuilder.xyz
lorenzo-protocol.xyz
lovely.network
lucidcoin.io
luckyfriday.io
ludan.org
lukso.network
lumia.org
lumio.io
lummio.net
lumoz.org
lunaro.network
luniverse.io
lux-test.network
lux.network
luxeports.com
lycanchain.com
lydiacoins.com
lyra.finance
m1chain.io
ma-chain.xyz
ma.ro
maalscan.io
maclive.info
madataseed.xyz
magape.io
magport.io
maichain.org
main-rpc.com
mainnet.ms
mainnetloop.com
mainnetz.io
mainsailhq.com
maiziqianbao.net
make-cph-great-again.community
makiai.app
mandalachain.io
mandragora.io
manoracoin.com
manta.network
manta.systems
mantle.xyz
mantrachain.io
maplabs.io
markr.io
maroo.io
marschain.net
marscredit.xyz
masnet.ai
matchain.io
maticvigil.com
maxi.network
maxxchain.org
mazze.io
mdgl.io
meerfans.club
meerlabs.com
meerscan.com
meerscan.io
megaeth.com
meld.com
memecore.net
mementoblockchain.com
memescan.io
mempool.space
meowrpc.com
merkle.io
merklescan.com
merlinchain.io
meronscan.ai
mersennet.com
metabenzscan.com
metachain.dev
metachain.one
metadap.io
metadium.com
metadot.network
metahub.cash
metalblockchain.org
metall2.com
metamemo.one
metanovaverse.com
metaplayer.one
metatime.com
meter.io
metis.io
metisdevops.link
mev-x.com
mevblocker.io
meversemainnet.io
meversetestnet.io
mewapi.io
mezo.org
mfenx.com
mfevscan.com
mfx.network
midpointcross.com
miexs.com
migochain.org
mijk.pro
milkomeda.com
mindchain.info
mindnetwork.xyz
mining4people.com
mintchain.io
mintme.com
miraclechain.com
miraclechain.dev
miracleplay.io
mirasmanda.uz
mitosis.org
mix-blockchain.org
miyou.io
miyoulab.com
mizodevelopment.com
mizuhiki.io
mmtscan.io
moac.io
mocachain.dev
mocachain.org
mochain.app
modchain.net
mode.network
molibra.org
monad.xyz
monadinfra.com
monarcaproject.com
moneypoolscash.com
mononodes.xyz
moonbeam.network
moonchain.com
moonrhythm.io
moonsama.com
moralis.io
morphl2.io
mosscan.com
movementlabs.xyz
movementnetwork.xyz
movochain.org
movoscan.com
movoswap.com
mp1network.com
mschihuahua.org
mstblockchain.com
msu.io
mtt.network
mtv.ac
mud.network
mudit.blog
murphynode.net
musicoin.tw
mvm.dev
mxc.com
mycryptoapi.com
mycryptoheroes.net
mydefichain.com
myrxwallet.io
mythicalgames.com
mytokenpocket.vip
myweber.org
mzonder.com
nagafintech.com
nagara.network
nahmii.io
nal.network
namefi.io
nanon.network
nariox.org
nativ3.network
nautchain.xyz
near.org
nebkas.ro
nebula-chain.com
neonevm.org
neonlink.io
nepachain.com
nepachain.org
nepalblockchain.dev
nepalblockchain.network
nerochain.io
netsbo.io
netxscan.io
neurochain.io
neurovatic.ai
neutrinoschain.com
newpay.io
newtonproject.org
nexa.sh
nexablockscan.io
nexera.network
nexi.technology
nexilix.com
nexis.network
nexurachain.io
nfbchain.com
nftruth.io
ngd.network
nibiru.fi
nilin.org
nillion.network
ninicoin.io
nirmalxscan.com
nirvanalabs.xyz
nitrograph.foundation
nizascan.io
nobody.network
nocturnode.tech
node75.org
nodebridge.xyz
nodeconnect.org
nodeflare.app
nodeinfra.com
nodereal.io
nodestake.org
nodestake.top
nodies.app
nodifi.ai
nomina.io
nordekscan.com
notadegen.com
notional.ventures
novanetwork.io
nownodes.io
nowscan.io
ntity.io
nuls.io
num.network
numa.network
numblock.org
numecrypto.com
numen-network.org
nurachain.net
nutriemp-chain.link
nutriemp.com
nvnmchain.io
nxy.social
o.xyz
oasis.io
oasischain.io
oasys.games
oat.farm
octa.space
octano.dev
oeblock.com
official-vasyl.network
ogpuscan.io
oho.ai
ohoscan.com
okex.org
oklink.com
okx.com
omaxray.com
omaxscan.com
omchain.io
omlira.com
omni.network
omniatech.io
omniaverse.io
omnicoin.net
omplatform.com
onbeam.com
onchainpoints.xyz
oneagent.uk
onechain.nexus
oneg8.network
oneiricts.com
oneitfarm.com
oneledger.network
onenesslabs.io
oneworldchain.org
onfa.io
onfachain.com
onfachain.net
onfinality.io
onflow.org
onical.org
onino.io
onmidas.xyz
ont.io
onuschain.io
oonechain.com
oortech.com
openex.network
openledger.xyz
openpiece.io
opentensor.ai
openvessel.io
opn.network
opside.network
optimism.io
optimusz7.com
optopia.ai
optrust.io
opulent-x.com
orai.io
orangechain.xyz
orbinum.io
ordenglobal-rpc.com
orderly.network
orderly.org
ordofi.network
oredex.finance
orenium.org
origin-trail.network
originstake.com
origintrail.network
orlchain.com
orqus.io
otc.run
overprotocol.com
owlracle.info
owshen.io
oxinchain.io
oxscan.io
oychain.io
ozonechain.io
p12.games
p2eppl.com
p2p.org
palette-opennet.com
palette-rpc.com
palmsmartchain.io
pandasea.io
pandoproject.org
parallaxprotocol.org
parex.network
paribu.network
paribuscan.com
patex.io
pawchainx.com
paxb.io
pay1coin.com
payload.de
paynetwork.io
payscan.live
peaq.network
peaq.xyz
peercash.io
pegorpc.com
pentagon.games
pepchain.io
pepe-chain.vip
pepenetwork.io
peperium.io
perennial.foundation
permission.io
phala.network
pharos.xyz
phi.network
phochain.org
phoenix-systems.io
phoenixplorer.com
photonchain.io
phron.ai
piecenetwork.com
pikascan.com
pine.ink
pionescan.com
pionetrace.com
pirl.io
pivotalprotocol.com
pixie.xyz
planq.network
plasma.to
plasticherokorea.com
platon.network
playa3ull.games
playblock.io
playfi.ai
plexfinance.us
plexnode.org
plexnode.wtf
plgchain.com
plian.io
plinga.technology
plume.org
plusmain.net
pmon.xyz
pmtchain.com
poa.network
poanetwork.dev
pochain.io
pocket.network
pointledger.net
pointpay.io
pokt.network
polis.tech
polkachu.com
polkadot.io
polkadothub-rpc.com
polygon-rpc.com
polygon.community
polygon.technology
polygonscan.com
polynomial.fi
polysmartchain.com
polysplit.cloud
polytopia.org
pon.network
poodl.org
poolsmobility.com
poolz.finance
popcateum.org
popdex.xyz
porters.xyz
portfolio-x.xyz
posichain.org
potos.hk
powerloom.network
pph-server.de
premiumblock.org
primeanetwork.com
primevertexlabs.com.mx
primusmoney.com
privixchain.xyz
prmscan.org
prodax.io
prometheuz.io
proofofplay.com
proscan.pro
protago-dev.com
pruv.network
ptcscan.io
ptekcoin.com
pub.ro
public-rpc.com
publicgoods.network
publicmint.io
publicnode.com
pulsechain.com
pulsechainrpc.com
pulsechainstats.com
pulseheartbeat.com
pumpfi.me
pxachain.com
pylun.network
pyrachain.io
pyropechain.com
q.org
qbc.network
qbitscan.com
qchain.kr
qeasyweb3.com
qiblockchain.online
qitmeer.io
qkacoin.org
qkirpc.org
qkiscan.cn
qkiscan.io
qms.finance
qom.one
qtestnet.org
quadrans.io
quai.network
quantumbit.foo
quantumscan.org
quarkchain.io
quarrychain.network
qubelabs.io
qubenode.space
qubetics.com
qubetics.work
qubeticstralbo.eu
quicknode.com
quiknode.pro
quip.network
r5.network
raba.app
rabbitchain.org
racaille.dev
racemainnet.io
racetestnet.io
radiumblock.co
radiumblock.com
radiustech.xyz
rainfall.one
ramestta.com
rangersprotocol.com
rannta.com
raptorchain.io
rarichain.org
rarimo.com
rawaki.xyz
rayls.com
rclsidechain.com
realio.network
realiostage.network
reapchain.org
rebus.money
rebuschain.com
recall.network
redbelly.network
reddio.com
redecoin.eu
redefi.world
redjackstudio.com
redlightscan.finance
redmansion.io
redstone.xyz
redstonechain.com
rei.network
restratagem.com
rethereum.org
rexxnetwork.com
reya.network
rhinostake.com
ri-nn.io
rikscan.com
risechain.com
riselabs.xyz
river.build
rivet.cloud
rivet.link
rnk.dev
robinhood.com
roburna.com
rocknblock.io
rockx.com
roguechain.io
rollux.com
romeprotocol.xyz
roninchain.com
roonchain.com
rootnet.app
rootnet.live
rope.network
routeme.sh
rpc-campnetwork.xyz
rpc-icb-network.io
rpc-r0ar.io
rpc.main.siberium.net.ru
rpcfast.com
rpcfree.com
rpcgrid.com
rpcshark.com
rphxscan.com
rsk.co
rss3.io
rthcentral.org
rubychain.io
runevm.io
runic.build
runonflux.io
rupaya.io
rupayacoin.org
rwa-chain.io
saakuru.network
sagarpc.io
saharalabs.ai
saitascan.io
sanko.xyz
sanr.app
santiment.net
sardisnetwork.com
satelink.network
satosh.ie
satoshichain.io
satuchain.com
saxemberg.com
sbcrypto.app
scai.network
scalind.com
scdoscan.io
scolcoin.com
script.tv
scroll.io
scschain.com
secexplorer.io
securechain.ai
securerpc.com
seelen.pro
sei-apis.com
seinetwork.io
seismictest.net
seleman-edge.mineriafjs.workers.dev
selendra.org
senjepowersscan.com
sentio.xyz
sentrixchain.com
sepolia.org
serveousercontent.com
serverrpc.com
sftproject.io
sgverse.net
shape.network
shardeum.org
sharecle.com
sherpax.io
shib.io
shibachain.net
shibchain.org
shibrpc.com
shidoscan.com
shidoscan.net
shimmer.network
shinarium.org
shinescan.io
shyft.network
siberium.net
sidrachain.com
sigmacore.io
silentdata.com
silentvalidator.com
silicon.network
simplystaking.xyz
singularity.gold
siriusnet.io
sixprotocol.net
skalenodes.com
skatechain.org
skynet.io
slerfchain.xyz
slingshot.finance
slingshotdao.com
smartbch.org
smartlayer.network
smartmesh.cn
smartmoneyewallet.com
snaxchain.io
socotra-testnet.network
softnote.com
solana.com
solidifi.app
somanetwork.io
somnia.network
soneium.org
soniclabs.com
soonchain.ai
sophon.xyz
soraai.bot
sorian.io
soter.one
sova.io
soverun.com
sparked.network
spectrumnodes.com
spidernode.net
spire.dev
splendor-rpc.org
splendor.org
sportschainnetwork.xyz
sriscan.com
sslip.io
ssquad.games
stabilityprotocol.com
stable.xyz
stablenet.network
stackflow.site
stackup.sh
stake-town.com
stakely.io
stakeme.pro
stakepool.dev.br
staketab.org
stakin-nodes.com
startale.com
starworksglobal.com
stateless.solutions
statemesh.net
status.network
stavr.tech
stcexplorer.io
steamexchange.io
stenix.network
step.network
stochainscan.io
storagechain.io
storchain.io
storyrpc.io
strato.nexus
stratovm.io
streetdog.me
strmchain.com
structx.io
studio-blockchain.com
studio-scan.com
su.gy
subquery.network
sui.io
superaichain.ai
superposition.so
superseed.xyz
surge.wtf
sushii.dev
svmscan.io
svpchain.org
swanchain.io
swanchain.org
swapdex.network
swiftnodes.io
swissdlt.ch
swisstronik.com
switch.ch
swss.io
sx.technology
synapseprotocol.com
syndicate.io
syndr.com
syrax.global
syscoin.org
taaqo.com
tabichain.com
tac.build
tafchain.com
taiko.tools
taiko.xyz
tajirchain.com
taker.xyz
tanenbaum.io
tangle.tools
tanssi-mainnet.network
tanssi-testnet.network
tanssi.network
tao.network
taoevm.io
taprootchain.io
taraxa.io
tatum.io
tbwg.io
tcgverse.xyz
tcnetwork.io
tea.xyz
teamblockchain.team
tech-coha05.xyz
techpay.io
telcoin.network
teleport.network
telos.net
tempo.xyz
ten.xyz
tencentcloud-rpc.com
tenderly.co
tenet.org
terminet.io
ternoa.network
testnet.ms
thaichain.org
thaifi.com
thatchain.io
theamsolutions.info
thebinaryholdings.com
theconsta.com
thefirechain.com
thegraph.com
thehelixchain.xyz
themerge.dev
thepower.io
theradius.xyz
therpc.io
theseven.meme
thestratos.org
thetatoken.org
thinkiumrpc.net
thirdweb.com
thundercore.com
thundercore.io
thundertoken.net
tiktrix-rpc.xyz
timenetwork.io
tingscan.com
tipboxcoin.net
titanlab.io
tl.web.tr
tlxscan.com
tmyblockchain.org
tobescan.com
tokamak.network
tokclaw.com
tokenview.io
tombchain.com
tomo.inc
tonapi.io
toncenter.com
topnetwork.org
torium.network
toronet.org
toruschain.com
tpix.online
transparency.solutions
treasure.lol
treasurenet.io
treschain.io
tresleches.finance
trex.xyz
trias.one
trinity-tech.io
tritanium.network
tronclassicscan.org
trongrid.io
tronscanapi.com
trumpchain.dev
trumpchain.io
trust.one
trustbitcoin.io
trustivon.com
trywagmi.xyz
tscscan.com
tscscan.io
tscscan.org
ttl1.top
tucana.zone
turkscan.com
twala.io
twitter.com
twixchain.com
twmcrypto.com
tycoscan.com
u2u.xyz
uat.cash
uatvo.com
ubitscan.io
uchain.link
ultraproscan.io
ultron-dev.io
ultron-rpc.net
unfrastructure.io
uniblock.dev
unichain.org
unifra.io
uniport.network
unique.network
unit0.dev
unitedbloc.com
uniultra.xyz
uptick.network
uptn.io
uschain.network
usecorn.com
utsa.tech
uxer.network
uxlinkone.com
uzmigames.com.br
v.network
validationcloud.io
validatorvn.com
validatrium.club
validium.network
valorbit.com
valve.city
vana.org
vanarchain.com
vcex.xyz
vchain.pro
vcity.app
vechain.energy
vecno.org
vefinetwork.org
velas.com
velaverse.io
velo.org
venidium.io
vention.network
veri5.network
versatizecoin.com
verylabs.io
vexascan.com
vexonhub.org
viacube.com
viction.xyz
vinuchain.org
vitruveo.xyz
vizing.com
vncscan.io
vne.network
volleychain.com
vordium.com
vrcscan.com
vrd.network
vscblockchain.org
vtrs.io
vvs.finance
vyoscan.com
vyvo.org
w3gamez.network
wabaworld.com
wadzchain.io
wandevs.org
wannachain.com
wardenprotocol.org
waterfall.network
wattxchange.app
web3cdn.network
web3endpoints.com
web3games.org
web3q.io
wegochain.io
welshdag.trade
wemblockchain.com
wemix.com
whitechain.io
winmar.tech
winmarchain.org
winr.games
wireshape.org
wirexpaychain.com
witnesschain.com
wolot.io
wonderchain.org
wonnetwork.org
woop.ai
woowow.io
worldland.foundation
worldmobile.net
wowchain.io
wyzthchain.org
x-phere.com
xai-chain.net
xcap.network
xdaichain.com
xdc.network
xdc.org
xdcrpc.com
xen.network
xeneascan.com
xenonchain.com
xerom.org
xertra.com
xfair.ai
xferchain.org
xgr.network
xinfin.network
xitcoin.org
xixoio.com
xlayer.tech
xlcscan.com
xlon.org
xo-dex.com
xo-dex.io
xo.market
xone.org
xone.plus
xpla.dev
xprotocol.org
xrpc.cl
xrplevm.org
xsc.pub
xsollazk.com
xstaking.sg
xusd.live
yidark.io
ynxweb4.com
yooldo-verse.xyz
yuan.org
zagros.network
zagrosnetwork.com
zakumi.io
zan.top
zchain.org
zchains.com
zcore.cash
zebrocoin.app
zedscan.net
zeeth.io
zeeve.net
zeeve.online
zeninhost.xyz
zeniq.network
zenithchain.co
zenithnode.xyz
zerion.io
zeroscan.org
zeroth.run
zether.org
zeuschainscan.io
zilliqa.com
zillnet.io
zircuit.com
zitcoin.us
zkamoeba.com
zkbase.app
zkcandy.io
zkevm-rpc.com
zkevm-test.net
zkfair.io
zklink.io
zksats.io
zksync.dev
zksync.io
zkxpla.io
zmok.io
znodes.net
zoo.network
zora.energy
zorinscan.org
zthscan.com
zuux.network
zypher.game
zypher.network
zyx.network

清单生成方法：合并两份注册表的 RPC 地址，去掉 IP 和本机地址，用公共后缀列表取注册域名，删除噪声条目，加入上表的非 EVM 端点、浏览器 API 和攻击补充项。报告只写了 bsc-dataseed.binance.org；bsc-dataseed1 到 bsc-dataseed4 是同组节点，按命名规则补充。其余主机名均出自上表所列报告。

2.12 实施示例：UniFi

本节以 UniFi 网关（UDM、UCG、UXG 系列）和 UniFi 交换机为例，把 2.2 到 2.8 的规则对应到具体功能。菜单路径按 UniFi Network 9.x 的官方文档写。不同版本的菜单名称会变，以控制台实际界面为准。本节未在真实设备上逐项验证。

开始前先确认四件事：

Network 应用版本不低于 9.0。区域防火墙（Zone-Based Firewall）从 9.0 开始提供。⁶⁹
流量日志需要 Network 9.1 以上、UniFi OS 4.2.8 以上，并且网关装有存储。⁶
CyberSecure 的扩展签名库是付费订阅。基础 IDS/IPS 免费。⁷³
TLS 解密只在 EFG、UXG-Enterprise 等企业型号上提供。UDM、UCG 系列不提供。²⁹

2.2 的规则与 UniFi 功能的对应关系
规则	UniFi 功能	菜单路径（9.x）	设置要点
网络分段（规则 9）	Networks（VLAN）加自定义防火墙区域	Settings › Networks；Settings › Security › Firewall 的区域矩阵	员工、IoT、访客、管理网各建一个 VLAN。为员工设备和 IoT 各建一个自定义区域，在区域矩阵中设置区域之间的策略⁶⁹
指定 DNS（规则 1）	DHCP 下发的 DNS 服务器；允许员工区域到网关的 53 端口	Settings › Networks › 各网络的 DHCP 设置	DNS 服务器填网关或公司解析器。IPv6 的 DNS 下发同样设置
阻塞其他外部 DNS（规则 2）	防火墙策略，或目的地址 NAT 重定向	Settings › Security › Firewall › Create Policy；或 Policy Engine / Policy Table › NAT › Dest. NAT	员工区域到 External 区域，端口 53，TCP 和 UDP，动作 Block，打开日志。选择重定向时，把发往外部 53 端口的查询改写到公司解析器，排除解析器所在网络，避免回环^71,74
阻塞未批准加密 DNS（规则 3）	防火墙策略加 Content Filter 域名清单	Settings › Security › Firewall；Settings › CyberSecure › Content Filter	阻塞到 External 的 TCP 和 UDP 853。把常见 DoH 服务的域名加进 Content Filter 的 Blocklist。网关自身的上游解析可以用 Encrypted DNS 加密，它不影响客户端策略¹
区块链 RPC 与链上 API（规则 4）	Content Filter 自定义 Blocklist	Settings › CyberSecure › Content Filter › Create New › Blocklist › Add Multiple	上传 2.11 的域名清单（txt 文件）。策略按网络或设备生效；开发和钱包设备放在单独网络，或建单独策略¹
Cloudflare Tunnel（规则 5）	防火墙策略	Settings › Security › Firewall › Create Policy	员工区域到 External，端口 7844，TCP 和 UDP，动作 Block，打开日志。获批设备的 Allow 策略放在它上方
未批准隧道、RMM、VPN、代理（规则 6）	Simple App Blocking 或防火墙策略的 App 匹配；Content Filter 域名清单	Settings › CyberSecure 或防火墙策略中的 App 字段	先按应用阻塞，再把 LOLRMM 域名清单减去批准厂商后加入 Blocklist^70,48
外部 SMB、RDP、FTP、消息代理（规则 7）	防火墙策略，端口列表	Settings › Security › Firewall › Create Policy	端口选 List：445、3389、21、1883、8883。可以先建端口组，后续策略复用
外部 SSH、邮件（规则 8）	IP 组加两条策略	Settings › Security › Firewall	先建“批准的 SSH 和邮件服务器”IP 组。上方一条 Allow 到该组，下方一条 Block 到 External 的 22、25、465、587、993
UDP 443（规则 10）	防火墙策略，先停用	Settings › Security › Firewall	建好 Block 到 External 的 UDP 443，先只对一台测试设备启用，观察业务影响后再扩大
IPv4 与 IPv6 一致	每条策略的 IP Version	Create Policy › 高级选项	IP Version 选 Both，不单独选 IPv4⁷⁶

策略顺序按“具体的 Allow，具体的 Block，宽泛的 Block”排列。新建的自定义策略排在内置策略之上、已有自定义策略之下，建完要检查顺序。动作选 Reject 而不选 Block，客户端会立即失败，不用等待超时，排查更快。⁷⁶

入侵防御的设置：

进入 Settings › CyberSecure › Protection，打开 Intrusion Prevention。²⁸
选择员工、IoT 和服务器网络。
Detection Mode 选 Notify and Block。
在 Active Detections 里选择与恶意软件、C2 相关的类别。
命中误报时用 Allow Signature 加入签名抑制表，不整体关闭类别。

IPS 会降低吞吐量。一项第三方测试在 UDM-Pro 上测得：打开 IPS 后吞吐量从约 8 Gbps 降到约 3.5 Gbps，再增加类别几乎不再下降。该数据未经官方确认，部署前按自己的带宽测试。⁷³

日志导出分两路，格式不同：

UniFi 的两类日志
日志	菜单路径	内容和格式
Traffic Logging	Settings › CyberSecure › Traffic Logging	Flow Logging 选 All Traffic 或 Blocked Traffic Only；打开 Gateway DNS 等附加记录。防火墙日志格式
Activity Logging	Settings › Control Plane › Integrations › Activity Logging › SIEM Server	选择安全检测等类别，填写接收端 IP 和端口。CEF 格式，经 syslog 发送⁷²

每条阻塞策略都要打开自己的日志开关，否则命中不会出现在日志里。接收端要分别解析两种格式。Security Onion 的示例用一个端口收流量日志、另一个端口收 CEF 日志。³⁰ 2.7 要求的字段，要在接收端用测试事件逐项核对。

网络传感器的镜像用 UniFi 交换机做：

在传感器所接的端口上设置镜像，源端口选上联口。方向容易设反，设反会让被监测的端口断网。⁷⁷
控制台界面只支持一对一镜像，不能多端口汇聚到一个端口，也不能按 VLAN 镜像。网关自身不提供端口镜像。需要更大范围时，用网络 TAP 或其他交换机。

清单需要每周更新。Content Filter 的自定义清单可以通过 UniFi 的接口批量写入，有社区脚本示例。这个接口没有官方文档，升级后可能失效，每次更新后要检查清单条目数。⁷⁵ 不依赖这个接口的自动更新做法见 2.13。

UniFi 做不到的部分

Content Filter 和防火墙的域名匹配都依赖 DNS。设备用自带的 DoH 或直连 IP 时，域名规则不生效，只能靠端口规则、IPS 和行为报警补。Content Filter 单个策略可容纳多少条自定义域名，官方文档未写明，上传 2,000 条以上的清单前先测试，待确认。笔记本离开办公网络后，UniFi 的规则全部失效，需要设备上的 DNS 过滤或网络代理。报警 C2-05、C2-06 需要 Zeek 和 RITA 等外部分析，UniFi 自身不做这类行为评分。

完成配置后，按 2.9 的验收表逐项测试，并确认每类事件都送到了日志接收端。

2.13 在 UniFi 上自动更新开源清单

UniFi 不能按网址订阅外部清单。2.10 的清单要持续更新，需要一个外部程序定时拉取，再交给 UniFi 或替代 UniFi 执行。按三层部署：签名、域名、IP。

三层清单的位置、来源和更新频率
层	在哪里执行	数据来源	谁来更新	建议拉取频率
IPS 签名	网关自身	基础签名库；CyberSecure 订阅后换成 Proofpoint 签名库⁷³	UniFi 自动更新	不用设置
域名	内网的 DNS 过滤器，例如 AdGuard Home	ThreatFox hostfile 或 RPZ；HaGeZi TIF；LOLRMM-Actions 的 `domains.txt`；2.11 的 RPC 清单；HaGeZi 的加密 DNS 绕过清单	DNS 过滤器按计划拉取	每 1 小时
IP	网关的防火墙 IP 组	Feodo Tracker 推荐清单；Spamhaus DROP	CrowdSec 的 UniFi 组件经控制台接口写入	Feodo 每 15 分钟；DROP 每天 1 次

各清单的生成频率不同，拉取频率按它定：

主要清单的生成频率与使用条件
清单	生成频率	使用条件
ThreatFox 导出	每 5 分钟	下载需要免费的 Auth-Key。只含最近 6 个月的指标⁷⁹
Feodo Tracker	每 5 分钟；官方建议至少每 15 分钟拉取一次	用 `ipblocklist_recommended.txt`，误报较少⁷⁸
HaGeZi TIF	每 4 到 8 小时	Full 版约 242 万条，Mini 版约 22 万条。家用设备先用 Mini 或 Medium⁴²
Spamhaus DROP	每天复核	拉取不能超过每小时一次，每天一次已够。用于产品时要注明来源⁸⁰

C2-Tracker 已于 2026-04-13 归档，数据文件已删除，不再使用。⁸⁴

域名层的部署步骤：

在 NAS 或一台常开的主机上，用容器运行 AdGuard Home。Pi-hole、Technitium 也可以。
添加上表的清单网址。ThreatFox 的网址带上自己的 Auth-Key。
把清单更新间隔设为 1 小时。这个设置以小时为单位。⁸³
加入 HaGeZi 的 doh-vpn-proxy-bypass.txt，阻塞常见 DoH、VPN 和代理域名。⁴²
在 UniFi 各网络的 DHCP 设置里，把 DNS 服务器改成这台主机。
按 2.12 的规则 2 和规则 3，阻塞外部 53 和 853 端口。DNS 过滤器所在的主机要排除在外。
打开 DNS 过滤器的查询日志，送到 2.7 的日志接收端。

这条路不经过 Content Filter，所以不受它的条目上限和未公开接口影响。代价是解析器成了单点。只部署一台时，它停机会让全网无法解析。部署两台，DHCP 下发两个地址。不要把公共 DNS 设为备用地址，否则清单会被绕过。

IP 层的部署步骤：

在控制台的 Integrations 页面创建 API key。菜单名称以实际界面为准。
用容器运行 CrowdSec 和它的 UniFi 组件。可选 cs-unifi-bouncer 或 cs-unifi-bouncer-pro，两者都支持区域防火墙。^81,82
把 Feodo Tracker 和 Spamhaus DROP 设为外部清单。cs-unifi-bouncer-pro 可以按设定间隔拉取纯文本 IP 清单。⁸²
组件会在控制台里建 IP 组和阻塞策略。建好后检查策略顺序，并打开日志。

UDM 的单个 IP 组最多 10,000 条，其他型号可能不同。cs-unifi-bouncer-pro 超过上限时会自动新建一组。^81,82 IP 层只放小而准的清单。几十万条的大清单放在 DNS 层。也有项目通过 SSH 在网关上直接改 ipset，它要靠持久化脚本抵抗固件升级。经控制台接口写入的规则在界面上可见，升级后不丢，优先用这种。

“实时”的边界

清单只收录已被发现并上报的地址。攻击者新建的服务器和域名，在上报前不在任何清单里。拉取比生成更频繁没有收益：ThreatFox 每 5 分钟生成，每 5 分钟拉取已是上限。藏在 Cloudflare、Azure 等大型云服务后面的 C2，域名和 IP 都不能阻塞，见第三部分。这三层挡的是已知的常见恶意软件和复用的 C2 工具。新出现的通道要靠 2.6 的行为报警发现。

部署次序：先开 IPS，约 5 分钟。再部署 DNS 过滤器和 DNS 绕过阻塞，约 1 小时。IP 层最后做，可选。用时是估计值。

不想自己运行 DNS 过滤器时，域名层可以交给托管服务，见 2.14。

2.14 托管安全 DNS

多家公共 DNS 服务已经阻塞已知的恶意软件和 C2 域名，清单由服务方更新。小型办公室和家庭可以用它替代 2.13 的自建 DNS 过滤器。这样不用维护清单，也不会因为一台主机停机而全网断网。

四类托管安全 DNS 的比较
服务	费用	自定义清单	按设备的日志	说明
Quad9（9.9.9.9）	免费	无	无	瑞士非营利组织。只阻塞安全威胁，清单来自约 20 个威胁情报来源⁸⁵
Cloudflare 1.1.1.2 / 1.1.1.3	免费	无	无	1.1.1.2 阻塞恶意软件；1.1.1.3 另外阻塞成人内容。DoH 地址是 `security.cloudflare-dns.com`⁸⁶
Cloudflare Zero Trust Gateway	50 个用户以内免费	有	有	有策略、日志和自定义清单，可以加入 2.11 的 RPC 清单和 RMM 清单^87,88
NextDNS、Control D	有免费额度，超出后按月付费	有	有	NextDNS 免费额度是每月 30 万次查询。Control D 可直接选用 HaGeZi 的清单，含 TIF^89,42

UniFi 的 Content Filter 本身已使用 Cloudflare 的域名分类。打开它，就已有一部分同类保护。⁷³

与 UniFi 一起使用：

把网关的上游 DNS 设为托管服务。优先用 UniFi 的 Encrypted DNS 走 DoH，运营商看不到也改不了查询。
客户端继续用网关做 DNS 服务器。
保留 2.12 的规则 2 和规则 3：阻塞局域网到外部的 53 和 853 端口。没有这两条，设备可以绕过过滤。
打开 UniFi Traffic Logging 的 Gateway DNS 记录。托管服务只看到网关的 IP，按设备的记录要靠 UniFi 自己留。

托管服务解决的问题和解决不了的问题：

换成 Cloudflare 安全 DNS 后，各项问题的变化
问题	是否解决
自己拉取和更新清单	解决。清单由服务方持续更新
自建解析器是单点	大部分解决。托管服务比一台 NAS 可靠。网关仍转发全部 DNS，网关停机时 DNS 同样中断
尚未被上报的新 C2	不解决。服务方的清单更大、更新更快，但同样只收录已发现的地址
已允许云服务内的 C2	不解决。Microsoft 365、Telegram、Discord 的域名是合法域名
直连 IP 的恶意程序	不解决。它不发 DNS 查询，仍需 IPS 和 2.13 的 IP 层
设备自带 DoH 或公共 DNS	不能单独解决。仍需 UniFi 阻塞 53、853 和已知 DoH 域名
离开办公网络的笔记本	只在每台笔记本装 WARP 客户端时解决。只改 UniFi 的 DNS，笔记本离开网络就失去保护

另外三项代价：看不到服务方用了哪些清单，也不知道收录有多快；Quad9 和 1.1.1.2 不接受自定义清单；网络里所有被查询的域名都会交给第三方。

启用 Cloudflare Zero Trust Gateway：

在 one.dash.cloudflare.com 注册，设一个团队名，选 Free 方案。免费方案的日志只留 24 小时，不能导出。这两项数据来自第三方价格页，注册时以官方页面为准。⁹⁰
进入 Networks › Resolvers & Proxies › DNS locations，选 Add a location。服务会给出 IPv4、IPv6、DoT 和 DoH 地址。⁸⁷
IPv4 地址只接受登记过的来源 IP。办公室有固定公网 IP 就登记它。IP 会变时，改用 DoH 或 IPv6 地址。⁸⁷
进入 Traffic policies › DNS，按顺序建策略。第一条 Allow：批准的 RMM 和隧道厂商域名。第二条 Block：全部 Security Categories。第三条 Block：2.11 的 RPC 域名清单。⁸⁸
RPC 清单在 My Team › Lists 上传。免费方案的清单有条目上限，上传完整清单前先确认，待确认。
新出现域名和 DoH 服务类别也可以阻塞。先只对一台设备启用，观察误报。
在 UniFi 上把网关的上游 DNS 改成这个位置的 DoH 地址。Encrypted DNS 是否接受自定义 DoH 地址，各版本不同，待确认。不接受时，用登记过来源 IP 的 IPv4 地址。
阻塞 8.8.8.8 等备用 DNS。Cloudflare 的文档要求这样做，否则部分应用会绕过策略。iCloud 专用代理和第三方 VPN 的流量不受 Gateway 过滤，要关闭或阻塞。⁸⁸
在客户端运行 dig example.com @网关地址，再到 Logs › Gateway › DNS 确认查询出现在这个位置下。把一个无害的测试域名临时加进 Block 策略，确认解析失败，然后删除。
可选：笔记本安装 WARP 客户端并加入团队，离开办公网络后策略仍生效。每个登记用户占 50 个名额中的一个。

建议的组合：域名层用 Cloudflare Zero Trust 免费方案或 NextDNS，不再自建 AdGuard Home；把 2.11 的 RPC 清单放进去；UniFi 的 IPS 保持打开；CrowdSec 的 IP 层按需要加。三层结构不变，只是域名层从自建换成托管。

第三部分：遗留风险

做完第二部分，下面这些风险仍然存在。每条列出网络层为什么挡不住，以及要靠什么补。

13 项网络层无法消除的风险
风险	网络层为什么挡不住	补救方向
已允许云服务内的 C2	Graph API、Calendar、Telegram Bot、Discord 的租户、账号和内容都在加密之内。网络只看到共享域名	终端进程归因；服务审计日志；对消息平台按设备限制 Bot API
借用正常进程发请求	TWINLOOT 用受害者的 Edge 浏览器发 Graph 请求，连进程归因都失效	终端行为检测；浏览器无头模式和异常父进程的告警；账号侧异常登录检测
批准工具被滥用	公司批准的 RMM、Tailscale、Cloudflare Tunnel 与攻击者使用的是同一服务	应用控制限定批准版本和设备；监测新实例、新账号、新中继；会话审计
已缓存地址的设备	阻塞地址来源后，已拿到地址的程序继续直连 IP	罕见目的地与连接节律报警；终端外联进程检查
走 TCP 443 的隧道和 DoH	与正常 HTTPS 无法在端口上区分；ECH 还隐藏服务器名	应用识别加行为规则；设备 DNS 配置锁定；TLS 元数据分析
多层加密与多路复用	BRICKSTORM 类通道解开外层仍是密文，TLS 解密无效	连接时长、节律和目的地稀有度；终端证据
同一 VLAN 内的横向通信	流量不经过网关	交换机端口隔离或微分段；LAN 侧镜像；终端防火墙
离开办公网络的设备	热点、家庭网络、外部 VPN 不受网关规则约束	设备上的 DNS 过滤或零信任代理；统一设备管理
自建 DoH、自建中继、自定义域名	静态清单跟不上新建服务	行为规则；新注册域名报警；信誉库定期更新
公共内容做地址来源	博客、仓库、链上合约的域名本身正常	访问后紧接罕见外联的关联规则；对无需求的链上 API 阻塞
低速、随机间隔的通道	阈值型规则抓不到每天几次的通信	延长基线窗口；按目的地稀有度而非频率报警；接受部分漏报
日志本身失效	采样记录丢短连接；长连接延迟出现；镜像丢包；时间偏移	日志中断和丢包的独立监测；定期用测试事件验证从采集到通知的每一段
误报带来的规则松动	行为规则的误报会让团队整体关闭规则	只加具体设备和目的地例外；记录每条规则的误报原因

两点需要明确接受。第一，网络层对趋势二中的云服务 C2 几乎没有直接阻塞能力，只能提供关联线索。企业如果业务依赖 Microsoft 365 或 Google Workspace，这部分风险要靠终端和身份层承担。第二，趋势三中的工具滥用，网络能挡住未批准的工具，挡不住批准工具的账号被滥用。

这两点决定了网络限制的定位：它是成本最低、覆盖最广的第一层，不是最后一层。

方法与来源

本文整理公开的一手威胁报告、MITRE ATT&CK 条目和厂商产品文档。产品文档均于 2026-10-07 查阅。案例日期是报告发布日期。资料不提供各类 C2 的统一占比，所以本文不给出各类方式的比例。

来源 36、38、39 引用的是转述厂商报告的新闻稿，未核对 ESET、Ontinue 和 Cisco Talos 的原始文章。规则、阈值和次序是建议，尚未在任何环境测试。

Ubiquiti，《Content and Domain Filtering in UniFi》，help.ui.com。DNS 过滤、设备范围与版本限制。
Ubiquiti，《UniFi Gateway Ad Blocking》，help.ui.com。加密 DNS、VPN、代理的过滤限制。
Palo Alto Networks，《Configure DNS Security Over DoH》，docs.paloaltonetworks.com。DoH 检测与解密策略。
Google Threat Intelligence，《DPRK Adopts EtherHiding》，2025 年，cloud.google.com。RPC 与集中式 API 的不同使用方式。
MITRE ATT&CK，《Dead Drop Resolver》，attack.mitre.org。
Ubiquiti，《Traffic Flows and Traffic Logging in UniFi Network》，help.ui.com。版本、存储、记录数、导出与采样。
MITRE ATT&CK，《Command and Control》，attack.mitre.org。
MITRE ATT&CK，《Application Layer Protocol: DNS》，attack.mitre.org。
MITRE ATT&CK，《Web Service》，attack.mitre.org。
MITRE ATT&CK，《Domain Fronting》，attack.mitre.org。
MITRE ATT&CK，《Non-Application Layer Protocol》，attack.mitre.org。
MITRE ATT&CK，《Publish/Subscribe Protocols》，attack.mitre.org。
MITRE ATT&CK，《Mail Protocols》，attack.mitre.org。
MITRE ATT&CK，《Multi-hop Proxy》，attack.mitre.org。
Microsoft Security，《TerminalFix campaign deploys reverse tunnel》，2026-08-28，microsoft.com。
CISA、NSA、Cyber Centre，《Malware Analysis Report: BRICKSTORM Backdoor》，2025-12-04，media.defense.gov（PDF）。
Palo Alto Networks Unit 42，《DNS Tunneling in the Wild》，unit42.paloaltonetworks.com。
Google Threat Intelligence，《BRICKSTORM espionage campaign》，2025-09-24，cloud.google.com。
Google Threat Intelligence，《Mark Your Calendar: APT41 Innovative Tactics》，2025-05-28，cloud.google.com。
Zscaler ThreatLabz，《Targeted Attack on Government Entities in the Middle East, Part 1》，2026-07-20，zscaler.com。
NCSC、FBI、AIVD，《Iranian cyber targeting of dissidents, activists and journalists》，2026-09-15，ncsc.gov.uk。
Microsoft Security，《Beyond ransomware: tracking Storm-2570》，2026-09-24，microsoft.com。
Cloudflare Docs，《Tunnel with firewall》，developers.cloudflare.com。
ngrok，《Share localhost》，ngrok.com。
Malwarebytes，《Kothamine malware uses Tailscale's tailcat》，2026-09-25，malwarebytes.com。
NSA、CISA 等联合公告，《Fast Flux: A National Security Threat》，2025-04，media.defense.gov（PDF）。
Cloudflare Docs，《Encrypted Client Hello (ECH)》，developers.cloudflare.com。
Ubiquiti，《UniFi Gateway Intrusion Detection and Prevention》，help.ui.com。
Ubiquiti，《UniFi Gateway SSL Traffic Deep Inspection》，help.ui.com。TLS 解密的支持型号范围。
Security Onion，《UniFi integration》，docs.securityonion.net。
Security Onion，《Architecture》，docs.securityonion.net。TAP/SPAN、Zeek 与 Suricata。
abuse.ch，ThreatFox，threatfox.abuse.ch。
abuse.ch，SSLBL，sslbl.abuse.ch。
Recorded Future Insikt Group，《2025 Year in Review: Malicious Infrastructure》，2026 年 3 月前后，recordedfuture.com。
Recorded Future Insikt Group，《H1 2026 Malware and Vulnerability Trends》，2026 年 9 月前后，recordedfuture.com。
The Hacker News，《Webworm Deploys EchoCreep and GraphWorm Backdoors》，2026 年 5 月，thehackernews.com。转述 ESET 报告。
Group-IB，《HOLLOWGRAPH: Turning Microsoft 365 Calendars into Covert C2 Channels》，2026 年 7 月，group-ib.com。
The Hacker News，《TWINLOOT Abuses SharePoint and Teams》，2026 年 8 月，thehackernews.com。转述 Ontinue 报告。
Cyber Security News，《Hackers Built a Windows Backdoor Whose Entire C2 Lives Inside Microsoft 365》，2026 年 10 月，cybersecuritynews.com。转述 Cisco Talos 的 Antino 报告。
Red Canary，《AI and browser threats stand out in the 2026 Threat Detection Report》，2026 年，redcanary.com。
Red Canary，《Remote Monitoring and Management Abuse》，2026 年，redcanary.com。
HaGeZi，《DNS Blocklists》，github.com/hagezi。威胁情报清单及适配的 DNS 过滤器。
PrimePoobah，《Pi-hole Blocklist Catalog》，github.com/PrimePoobah。通用清单加恶意软件层的分层做法。
CyberHost，《Best Malware Blocklists for Pi-hole and AdGuard Home》，cyberhost.uk。ThreatFox、URLhaus 等 hostfile 清单。
Active Countermeasures，RITA，github.com/activecm/rita。基于 Zeek 日志的信标、长连接和 DNS 通道分析。
Active Countermeasures，《Threat Hunting Over the Network With Zeek and RITA》，activecountermeasures.com。
MagicSword，LOLRMM，github.com/magicsword-io/LOLRMM。RMM 工具目录与 API。
0xtato，LOLRMM-Actions，github.com/0xtato/LOLRMM-Actions。自动生成的 RMM 域名和 IP 清单。
LOLC2，lolc2.github.io。借用合法服务的 C2 框架目录。
danzek，awesome-lol，github.com/danzek。LOTS、LOTTunnels 等清单的汇总。
ethereum-lists，chains，github.com/ethereum-lists/chains。EVM 链注册表；拉取的提交日期 2026-10-06。
DefiLlama，chainlist，github.com/DefiLlama/chainlist。extraRpcs.js；拉取的提交日期 2026-10-06。
Google Threat Intelligence，《New Group on the Block: UNC5142 Leverages EtherHiding》，2025，cloud.google.com。
Trend Micro，《Smart Contracts for Command and Control: How ClearFake Hid in Plain Sight on BSC Testnet》，2026-05，trendmicro.com。
rmceoin，《ClearFake 2026》，2026-09-09，rmceoin.github.io。并行查询的 RPC 端点清单。
Ransom-ISAC，《Cross-Chain TxDataHiding Crypto Heist, Part 2》，2025-10，ransom-isac.org。TRON、Aptos、BSC 的查询方式。
Ransom-ISAC，《XCTDH Adopts Hash Hiding》，2026-09，ransom-isac.org。以太坊转账编码 C2 地址。
StepSecurity，《Joyfill npm supply chain compromise》，stepsecurity.io。XCTDH 端点清单。
The Hacker News，《GlassWorm Malware Uses Solana Dead Drops》，2026-03，thehackernews.com。
The Hacker News，《GlassWorm Malware Takedown》，2026-05，thehackernews.com。
Prophet Security，《EtherHiding Malware on macOS》，prophetsecurity.ai。Polygon 合约 C2。
以色列国家数字局，《Malware-On-The-Blockchain》，govextra.gov.il。
Google TAG，《Disrupting the Glupteba operation》，2021-12，blog.google。
Etherscan，《V2 Migration》，docs.etherscan.io。
Solana，《Clusters and Public RPC Endpoints》，solana.com。
TRON Developer Hub，《TronGrid》，developers.tron.network。
Sui，《RPC Best Practices》，docs.sui.io。
TON Docs，《TON Center API v2 overview》，docs.ton.org。
Ubiquiti，《Zone-Based Firewalls in UniFi》，help.ui.com。区域、区域矩阵和策略。
Ubiquiti，《Application Filtering in UniFi》，help.ui.com。Simple App Blocking 与防火墙的应用匹配。
Ubiquiti，《Traffic & Policy Management in UniFi》，help.ui.com。Policy Engine 与 Object Manager。
Ubiquiti，《UniFi System Logs & SIEM Integration》，help.ui.com。CEF 导出和菜单路径。
Ubiquiti，《UniFi CyberSecure Enhanced by Proofpoint and Cloudflare》，help.ui.com。签名库与订阅；吞吐量数据来自第三方测试 shiftctrl.net。
mikaeldui，《UniFi: DNAT to redirect DNS requests》，gist.github.com。DNS 重定向的设置。
fguisso，《How to apply a DNS blocklist to UniFi's content filter using the API》，gist.github.com。未公开文档的接口。
WunderTech，《How to Configure UniFi Firewall Rules (Zone-Based Policies)》，wundertech.net。策略字段、顺序与动作。
Ubiquiti Community，《Port mirroring direction》，community.ui.com。镜像方向。
abuse.ch，Feodo Tracker Blocklist，feodotracker.abuse.ch。生成频率和文件格式。
abuse.ch，ThreatFox Export，threatfox.abuse.ch。导出格式、生成频率、Auth-Key 与 6 个月保留期。
Spamhaus，《Don't Route Or Peer (DROP)》，spamhaus.org。复核频率、拉取限制与署名要求。
Teifun2，cs-unifi-bouncer，github.com/Teifun2。区域防火墙支持与 UDM 的 IP 组上限。
developingchet，cs-unifi-bouncer-pro，github.com/developingchet。分组、API key 认证与外部清单拉取。
AdGuard Home Wiki，《Configuration》，github.com/AdguardTeam。filters_update_interval 以小时为单位。
montysecurity，C2-Tracker，github.com/montysecurity。2026-04-13 归档。
Quad9，《Threat Blocking》，quad9.net。阻塞方式与情报来源数量。
Cloudflare Docs，《1.1.1.1 for Families》，developers.cloudflare.com。1.1.1.2、1.1.1.3 的范围与 DoH 地址。
Cloudflare Docs，《DNS locations》，developers.cloudflare.com。菜单路径、四类地址与来源 IP 登记。
Cloudflare Docs，《DNS policies》，developers.cloudflare.com。选择器、动作，以及 VPN 和备用 DNS 的限制。
NextDNS，《Pricing》，nextdns.io。免费额度与付费价格。
CostBench，《Is Cloudflare Zero Trust Free?》，costbench.com。第三方整理的免费方案用户数与日志留存期。

记录

2026-10-07：完成公开资料调研并整理成本页。所有网络设置保持未执行状态，部署结果需以后续测试记录为准。

2026-10-07：第二部分新增“可用的开源项目”一节，10 个项目及 9 个来源。

2026-10-07：第二部分新增“区块链 RPC 与链上数据域名”一节，含 7 个案例、注册表统计、非 EVM 端点和完整注册域名清单，新增 18 个来源。

2026-10-07：第二部分新增“实施示例：UniFi”一节，把各条规则对应到 UniFi 功能和菜单路径，新增 9 个来源。

2026-10-07：第二部分新增“在 UniFi 上自动更新开源清单”一节，说明签名、域名、IP 三层的更新方式和各清单的生成频率，新增 7 个来源。

2026-10-07：第二部分新增“托管安全 DNS”一节，比较四类公共安全 DNS，给出与 UniFi 配合的方法和 Cloudflare Zero Trust Gateway 的启用步骤，新增 6 个来源。