hunting-for-cobalt-strike-beacons

Cobalt Strike Beacon の探索

概要

Cobalt Strike は、レッドチームと脅威アクターの双方が利用する、最も広く普及しているコマンド&コントロール（C2）フレームワークです。そのメインペイロードである Beacon は、正規のトラフィックを模倣できる、設定可能な HTTP/HTTPS/DNS プロファイルを使用してチームサーバーと通信します。しかし、デフォルト設定や動作パターンは、TLS 証明書の分析（デフォルトのシリアル 8BB00EE）、JA3/JA3S フィンガープリンティング、ビーコンの間隔のジッター分析、HTTP malleable プロファイルのパターンマッチングによって依然として検出可能です。このスキルでは、Zeek のネットワークログ、Suricata の IDS ルール、Python による PCAP 分析を用いて、ネットワークトラフィック内のビーコンのコールバックを特定する検知機能の構築について扱います。

使用するタイミング

• Cobalt Strike Beacon を探索する必要があるセキュリティインシデントを調査する場合
• この領域向けの検知ルールや脅威ハンティングのクエリを構築する場合
• SOC アナリストがこの種の分析に対する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• JA3 および HASSH パッケージをインストールした Zeek 6.0 以上
• Emerging Threats ルールセットを導入した Suricata 7.0 以上
• scapy および dpkt ライブラリをインストールした Python 3.9 以上
• ネットワークトラフィックのキャプチャ（PCAP）またはライブの Zeek ログ
• ビーコンのスコアリングに使用する RITA（Real Intelligence Threat Analytics）
• 既知の Cobalt Strike IOC を含む脅威インテリジェンスフィード

手順

手順 1: TLS 証明書の分析

Zeek の ssl.log において、JA3S フィンガープリント、証明書のシリアル番号、JARM フィンガープリントを用いて、デフォルトの Cobalt Strike 証明書を検出します。

手順 2: ビーコンの間隔分析

接続のタイミングパターンを分析し、設定可能なジッターを伴う定期的なコールバック間隔を特定します。これはビーコンの動作に特徴的なものです。

手順 3: HTTP プロファイルの検出

HTTP リクエストのパターン（URI パス、ヘッダー、user-agent）を、既知の malleable C2 プロファイルと照合します。

手順 4: 相関とスコアリング

複数の指標（TLS + タイミング + HTTP プロファイル）を組み合わせ、複合的なビーコンの信頼度スコアを算出します。

期待される出力

検出されたビーコン候補、信頼度スコア、TLS フィンガープリント、タイミング分析、HTTP プロファイルの一致結果、および推奨される対応アクションを含む JSON レポート。