detecting-beaconing-patterns-with-zeek

Zeek を使ったビーコニングパターンの検出

使用するタイミング

• ZEEK でビーコニングパターンを検出する必要があるセキュリティインシデントを調査するとき
• このドメインの検出ルールまたは脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析の構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• セキュリティオペレーションの概念とツールに関する知識があること
• 安全に実行するためのテスト環境またはラボ環境にアクセスできること
• 必要な依存関係をインストールした Python 3.8 以降がインストールされていること
• テスト活動に対する適切な許可を得ていること

手順

ZAT（Zeek Analysis Tools）を使用して Zeek の conn.log データを読み込み、送信元 IP と宛先 IP のペアごとに接続をグループ化し、タイミングの統計量を計算してビーコニングを特定します。

from zat.log_to_dataframe import LogToDataFrame
import numpy as np

log_to_df = LogToDataFrame()
conn_df = log_to_df.create_dataframe('/path/to/conn.log')

# Group by src/dst pair and calculate inter-arrival time
for (src, dst), group in conn_df.groupby(['id.orig_h', 'id.resp_h']):
    times = group['ts'].sort_values()
    intervals = times.diff().dt.total_seconds().dropna()
    if len(intervals) > 10:
        std_dev = np.std(intervals)
        mean_interval = np.mean(intervals)
        # Low std_dev relative to mean = likely beaconing

主な分析手順:

1. ZAT の LogToDataFrame を使用して Zeek の conn.log を DataFrame に解析する
2. 送信元 IP と宛先 IP のペアごとに接続をグループ化する
3. 連続する接続間の到着間隔（インターバル）を計算する
4. 標準偏差と変動係数を計算する
5. 変動係数が低いペアを潜在的なビーコンとしてフラグ付けする

例

from zat.log_to_dataframe import LogToDataFrame
log_to_df = LogToDataFrame()
df = log_to_df.create_dataframe('conn.log')
print(df[['id.orig_h', 'id.resp_h', 'ts', 'duration']].head())