Passive DNS ist eine historische Datenbank von DNS-Antworten — eine Aufzeichnung darüber, welche Domainnamen auf welche IP-Adressen aufgelöst wurden und wann. Während eine normale DNS-Abfrage sagt, wohin eine Domain gerade jetzt zeigt, sagt Passive DNS, wohin sie letzten Monat, letztes Jahr und bei jeder Änderung dazwischen zeigte.
Diese Historie ist ein starker Ansatzpunkt. Sie legt Infrastruktur offen, die ein Ziel inzwischen aufgegeben hat, verbindet Domains, die sich einst eine IP teilten, und zeigt, wie sich bösartige Hosts zwischen Anbietern bewegen. Passive DNS wird von Sensoren erhoben, die echte Auflösungen beobachten, und erfasst so Einträge, die nie gefunden werden sollten und die aktuelle Abfragen völlig verpassen würden.