笔记：Who Is Answering My Queries: Understanding and Characterizing Interception of the DNS Resolution Path

看这论文列出来的表格数据，Incorrect比例极低，可见主要目标较大概率还是优化，而非劫持。

就看对interception的定义了，就如bind的RPZ。

对于没有发现多少恶意IP的数据集，所谓的"interception"概念是比较宽泛的，分析一下：
1）Direct Responding也可能是公共递归自己的优化（当单个二级域下的随机域名查询量短时上升时）；
2）Request Redirection公共递归后端理论上也可以直接转发（概率极低），更大的可能是移动被用8.8.8.8解析时延的投诉搞多了、跨网结算亏钱所以弄成主动替换（省钱第一），此外是铁通那种奇葩会在某些非宽带链路全部返回同一IP（噪声数据）；
3）Request Replication估计是大数据dump。