[请教]用TDI Filter过滤含特定字符串的DNS地址

小弟今年毕业设计是基于TDI的个人电脑防火墙，已经完成了得到IRP，分析远端IP及端口，分析连接网络的进程PID及进程名。
现在想用TDI Filter来过滤含特定字符串的DNS地址，现在有几个问题想要请教：
1.判断是不是HTTP协议是否只用看远端端口？
2.若为HTTP协议，则DNS地址是放在什么地方的，用什么命令可以得到？