重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。
以下为摘要预览，完整内容请查看 GitHub 原文。
Hunting for Beaconing with Frequency Analysis
When to Use
- When proactively searching for compromised endpoints calling back to C2 infrastructure
- After threat intelligence reports indicate active C2 frameworks targeting your sector
- When network logs show periodic outbound connections to unfamiliar destinations
- During purple team exercises validating C2 detection capabilities
- When investigating a potential breach and need to identify active C2 channels
Prerequisites
- Network proxy/firewall logs with timestamps and destination data (minimum 24 hours)
- Zeek conn.log, dns.log, and ssl.log or equivalent NetFlow/IPFIX data
- SIEM platform with statistical analysis capability (Splunk, Elastic, Microsoft Sentinel)
- RITA (Real Intelligence Threat Analytics) or AC-Hunter for automated beacon analysis
- Threat intelligence feeds for domain/IP reputation enrichment
Workflow
- Define Beacon Parameters: Establish detection thresholds -- coefficient of variation (CV) below 0.20 indicates strong periodicity, minimum 50 connections over 24 hours, average interval between 30 seconds and 24 hours.
- Collect Network Telemetry: Aggregate proxy logs, DNS queries, f…
以下为摘要预览，完整内容请查看 GitHub 原文。
通过频率分析狩猎信标通信
适用场景
- 在主动搜寻对 C2 基础设施发起回连的失陷终端时
- 在威胁情报报告显示针对本行业的 C2 框架处于活跃状态后
- 当网络日志显示与不熟悉的目的地之间存在周期性出站连接时
- 在紫队演练中验证 C2 检测能力期间
- 当调查潜在入侵并需要识别活跃的 C2 通道时
前置条件
- 包含时间戳和目的地数据的网络代理/防火墙日志（最少 24 小时）
- Zeek conn.log、dns.log 和 ssl.log，或等效的 NetFlow/IPFIX 数据
- 具有统计分析能力的 SIEM 平台（Splunk、Elastic、Microsoft Sentinel）
- RITA（Real Intelligence Threat Analytics）或 AC-Hunter，用于自动化信标分析
- 用于域名/IP 信誉增强的威胁情报源
工作流程
- 定义信标参数：建立检测阈值 —— 变异系数（CV）低于 0.20 表示强周期性，24 小时内最少 50 次连接，平均间隔在 30 秒至 24 小时之间。
- 采集网络遥测数据：将代理日志、DNS 查询、防火墙连接日志和 Zeek 元数据汇总到分析平台。
- 计算连接间隔：对于每一对源-目的地，计算连续连接之间的时间差，并推导平均间隔、标准差和 CV。
- 应用抖动分析：Cobalt Strike 等高级 C2 框架会在信标间隔中增加抖动（随机性）。Sunburst 后门每 15 分钟进行一次信标通信，正负 90 秒。分析抖动模式以检测即使是随机化的信标通信。
- 过滤合法的周期性流量：排除已知的良性信标来源，包括 Windows Update、防病毒定义更新、NTP 同步、SaaS 心跳服务和 CDN 健康检查。
- 分析数据大小一致性：C2 心跳数据包通常具有一致的载荷大小。计算每次连接传输字节数的 CV —— 低方差表明是自动化通信。
- 通过威胁情报进行增强：将已识别的信标目的地与 VirusTotal、WHOIS 注册数据（标记注册时间少于 30 天的域名）、证书透明度日志和被动 DNS 历史进行比对。
- 与终端遥测数据进行关联：通过 DHCP 日志将信标源 IP 映射到终端主机名，然后与进程创建事件（Sysmon Event ID 1、3）进行关联，以确定相关进程。
- 评分与优先级排序：根据 CV 值、域名年龄、威胁情报匹配、数据大小一致性和可疑端口使用情况分配风险评分。升级高置信度的发现。
关键概念
| 概念 | 描述 |
|---|
| T1071.001 | 应用层协议：Web 协议 —— H… |
