一、答辩主要内容

1. zm师兄：

  • 研究目标：DNS解析失败归因分析，构建归因分析体系

    • 研究内容：

      • 研究点1：基于随机模拟的DNS解析器负缓存测量方法

        • 部分厂商未按RFC实施负缓存，失败流量占比高原因
        • 现有负缓存基于响应码实施，粒度无法支持深度归因

      • 研究点2：基于上下文感知的DNS失败流量低频域名分析

        • 低频域名缺乏关注，聚合体量大，很多由算法自动生成

        • 14维语言特征提取—引入语言学模型评估

        • 低频域名很多为云服务、CDN、内网域名，涉及用户UUID等信息泄露传递

        • 研究点3：DNS解析失败原因分析系统

          • 技术路线：多源规则来源（RFC、威胁情报、专家经验、实验经验
            • 技术路线：解析失败归因体系
            • 技术路线：规则匹配图运用

      • 发表论文和项目完成情况

  • 专家问题（右起）：整体内容不错，工作量详实，主要问题在研究目标描述和研究点的对应不够准确和清晰

    • lqy：恶意域名使用注明、扫描行为去除原因注明、第三个点降成原型系统，目前并不健壮
    • 专家2：题目所述和研究点标定围绕不够紧密，私以为二八
    • 专家3：域名泛化对低频域名筛选的影响
    • 中间跳过slm、fbx、gl老师
    • 专家4：本归因体系解决问题明确
    • 专家5：解析失败流量占比高是现象非挑战，失败归因原因尽量再明确，归因对安全的帮助
    • xg：解析失败流量的数量？当前只提了占比（better：主流厂商like chrome的滥用；内网隐私通过域名信息泄露的分析；归因分析展开到各个层级会更好，深入到具体的安全归因点能带来较大提升）
    • slm：背景部分概念更明确一些，类似负缓存；原型系统而非系统；系统部署得到的结论补充，说明实际效果2. lqw师兄
2. by师兄：
  • 研究目标：测绘发现不同的加密DNS服务类型，服务精细化管理
    • 背景：加密DNS服务可能被滥用绕过监测，标准协议和多种私有协议并存，缺乏精细化管理
    • 现状：私有加密DNS识别缺乏通用方法（隧道通信识别、解析网站识别）
  • 研究内容：融合标准服务识别，私有服务发现，解析内容推断，提出加密DNS服务测绘关键技术
    • 研究点1：基于多层级迭代探测的标准加密DNS服务识别（域内授权/域外授权权威解析识别区分）
    • 研究点2：基于协议交互状态机的私有加密DNS服务发现
    • 研究点3：基于HTTP/2帧解析序列侧信道的网站指纹识别（HTTP/2下帧的重要性）
    • 原型系统：加密DNS服务测绘原型系统
    • 发表论文和项目完成情况
  • 专家问题（左起）：
    • xg：网站指纹识别的规模、粒度（1/1634）–此前的数据缺少，缺少复杂场景；数据集如何构造（顺序有区别，87%的准确度到规模大时能保证吗？方法的上限有多大？私有加密DNS服务的依赖分析）
    • 专家2：①学术创新总结一些，做测量的传统问题，容易偏工程，学术性显得不强（方法+结果） ②发现的意义再总结，提供现实管理意义 ③方法在速度上提升如何（DOT快，DOH3day，DoQ的发现基于DoT）
    • 专家3：研究点2第四章（方法和数据集都是自研，面临评价问题，注意文字和方法的规范化）；手动探APP的描述规范细化
    • 专家4：95页图，数字显示；97页不良内容含义明确
    • 专家5：60页结果描述不太明确；65页适用率为80%的解释不清，数字的对应关系
    • lqy：内容推断和分析需要过渡；50%的恶意（反常识的结果需要着重解释）
    • slm：工作细、工作量够；研究所的目录模板公式化（普遍问题）；学术性描述加强

二、个人小结：

1. 问的最多的几个问题：

  • 研究点和标题的对应关系：各讲各的还是只讲了一部分？实际做的事对应于描述是否准确？目录结构过时（私以为是风格问题

  • 做的事和所做事情的意义：你干了什么我听不出来，那说明你没干或者你干的不到位或者你理解和描述不到位，这里每一个都能否定你的工作；明确自己要做的事和实际做的事，找到工作的定位和价值，这是研究的意义，于己收束过往于人开引将来

  • 研究的理解门槛：不论是硕士还是博士，我认为大论文最起码的要求是能把你要做一个什么事，怎么做的事，讲个清楚，大就大在系统，对于一般读者而言可以不懂技术细节，但能知道大致怎么做的，这是作者理解和描述的问题，大论文的理解门槛不能太高，基本的概念都要讲清讲透，基本共识一定要稳固

  • 学术性和工程性：可以用问题、难点、方法、创新、解决来概括这两个偏向，一般的大论文应该都包含这些部分，学术性的区别主要体现在针对难点的方法创新，一般来说不会是纯技术的，答辩并不需要深钻创新的技术细节，告诉我公式怎么运作计算、具体如何跟踪流量，需要讲明的是方法，提供结果，并保证这个过程中方法的科学性和稳固性，合理可能是科学的但不稳固，自证永远有本位主义的问题，自创逻辑很难反驳，缺乏比较和讨论空间本身难以不稳固（you know 三角形具有稳定性🐶bushi

  • 论文图文数字细节：答辩的老师基本从开题听到中期、预答辩再到最后答辩，对于你所做的内容是比较熟悉的，而且他们的眼睛都很毒辣，能一眼找到问题，需要精益求精，只能花时间死磕

2. 个人感悟
  • 毕业更像个仪式，是对自己过去3-5年的总结，场下工作越足，场上约平静，波澜不惊
  • 答辩是答而不辨，上升到辨就是没讲清楚，答的好的基础是有价值的问题、有稳固的逻辑、有达意的描述、有清楚的表达……
  • 答辩人可能对当时没什么感觉，但过后回想起来，这将是极其美妙的时刻，不是说为了答辩纪念，而是它象征着某种精神和身体上的长征胜利结束了，所谓3-5年的“豪赌”在自己的操盘下渐渐成为明确的结果。其实也不需要太多辞藻和大加赞美，这是一件有相当挑战性的事，但也是挺平常的一个选择
  • 时光飞逝，祝福组内的zm、by、xo、yq、ly顺利毕业！