L'entropia delle query è una misura di quanto casuale appare un nome DNS. Un dominio leggibile da una persona, come mail.example.com, ha un'entropia relativamente bassa, mentre una stringa di lettere, numeri e simboli mescolati di solito ha un'entropia più alta. In pratica, un'entropia elevata spesso significa che l'etichetta è stata generata o codificata da un software anziché digitata da una persona.
Questo è importante nella sicurezza informatica perché il tunneling DNS, i beacon dei malware e gli algoritmi di generazione di domini spesso producono modelli di query insoliti. Gli aggressori possono codificare dati nei sottodomini o alternare nomi casuali per far passare comandi e risultati oltre i filtri di base. I difensori usano l'entropia delle query come segnale di rilevamento nei log DNS, di solito insieme ad altri indizi come etichette lunghe, raffiche ripetute, domini insoliti e ricerche fallite frequenti. L'entropia non è una prova di attività malevola, ma è un modo utile per individuare traffico che merita un esame più approfondito.