La rotazione rapida dei domini è la creazione, sostituzione o rotazione veloce di domini nell'arco di un breve periodo. Gli attori malevoli la usano per evitare blocchi basati sulla reputazione, distribuire il traffico tra molti nomi e rendere più difficile il tracciamento per i difensori. Nella telemetria DNS, la rotazione rapida appare spesso come un aumento improvviso di domini unici, registrazioni di breve durata o ricerche ripetute che si spostano da un host all'altro.
Questo è importante perché il DNS è facile da normalizzare su larga scala: un singolo dominio può confondersi con il traffico di routine finché il modello non cambia. I difensori monitorano la rotazione rapida per individuare tunneling, infrastrutture di phishing, command-and-control di malware e sistemi di relay che si spostano continuamente tra domini. Gli strumenti di sicurezza possono rispondere con arricchimento, correlazione tra DNS passivo e regole di blocco che si concentrano sul comportamento invece che su un singolo nome. La lezione chiave è che i frequenti cambi di dominio spesso sono una tattica, non rumore.