mcpField
H
hunting-for-command-and-control-beaconing

hunting-for-command-and-control-beaconing

github.com/mukul975セキュリティ35.2k55 回インストール8 週間前に更新
リポジトリ

hunting-for-command-and-control-beaconing について

ネットワークテレメトリから周期的なC2通信の可能性を探す、セキュリティ分析担当者向けのハンティングスキルです。頻度分析、レピュテーション確認、エンドポイントとの相関分析、対応までを扱います。

主な機能

  1. 01ビーコン通信の特徴を特定
  2. 02プロキシ、DNS、接続ログの集約
  3. 03統計手法による周期的接続の検出
  4. 04既知の正常な通信の除外
  5. 05ドメインとIPのレピュテーション確認
  6. 06端末の活動との相関分析と対応

活用シーン

  1. 01ネットワーク内の侵害システムの予防的な探索
  2. 02不審なドメインへの周期的接続の調査
  3. 03脅威インテリジェンスに基づく標的型C2の探索
  4. 04インシデント対応での稼働中C2チャネルの確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-command-and-control-beaconing

インストール後、Claude Code で/hunting-for-command-and-control-beaconingを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

コマンド＆コントロールのビーコニングをハンティングする

使用する場面

  • ネットワーク内の侵害されたシステムをプロアクティブにハンティングする場合
  • 脅威インテリジェンスにより、自組織の業界を標的とする C2 フレームワークが示された場合
  • 不審なドメインへの定期的なアウトバウンド接続を調査する場合
  • インシデント対応で、アクティブな C2 チャネルを特定する場合
  • DNS クエリログに、特定のドメインに対する異常なパターンが見られる場合

前提条件

  • URL 全体とタイミングデータを含むネットワークプロキシ／ファイアウォールログ
  • DNS クエリログ（パッシブ DNS、DNS サーバーログ、または Sysmon Event ID 22）
  • Zeek/Bro ネットワーク接続ログまたは NetFlow データ
  • 統計分析機能を備えた SIEM（Splunk、Elastic）
  • ドメイン／IP のレピュテーションを確認するための脅威インテリジェンスフィード

ワークフロー

  1. ビーコニングの特徴を特定する：ビーコニングの定義（規則的な間隔、小さなペイロードサイズ、一貫した宛先、ジッターパターン）を定めます。
  2. ネットワークテレメトリーを収集する：プロキシログ、DNS クエリ、接続メタデータを集約して分析します。
  3. 頻度分析を適用する：統計手法（標準偏差、変動係数）を用いて、規則的な間隔の接続を特定します。
  4. 既知の正常なトラフィックを除外する：正規の定期的なトラフィック（Windows Update、AV の更新、ハートビートサービス、NTP）を除外します。
  5. ドメイン／IP のレピュテーションを分析する：特定したビーコニング先を、脅威インテリジェンス、WHOIS データ、証明書の透明性ログと照合します。
  6. エンドポイントの状況を調査する：ビーコニングのアクティビティを、発信元エンドポイントでのプロセス作成、ユーザーコンテキスト、ファイルシステムの変更と関連付けます。
  7. 確認して対応する：C2 アクティビティを検証し、通信をブロックして、インシデント対応を開始します。

主な概念

概念説明
T1071アプリケーション層プロトコル（HTTP/HTTPS/DNS C2）
T1071.001Web プロトコル（HTTP/S ビーコニング）
T1071.004DNS（DNS トンネリング C2）
T1573暗号化チャネル
T1572プロトコルトンネリング
T1568動的解決（DGA、ファストフラックス）
T1132C2 におけるデータエンコーディング
T1095非アプリケーション層プロトコル
ビーコン間隔C2 のチェックイン間隔
ジッタービーコン間隔のランダムな変動
DGAドメイン生成アルゴリズム
ファストフラックスDNS 解決先が急速に変化すること

ツールとシステム

ツール用途
RITA (Real Intelligence Threat Analytics)Zeek ログ内のビーコンを自動検出
SplunkSPL による統計的なビーコン分析
Elastic Securityビーコニングの ML ベースの異常検知
Zeek/Broネットワーク接続メタデータの収集
SuricataJA3/JA4 フィンガープリンティング機能を備えたネットワーク IDS
VirusTotalドメインと IP のレピュテーション確認
PassiveDNSDNS 解決の履歴データ
FlareC2 プロファイルの検出

よくあるシナリオ

  1. Cobalt Strike ビーコン：設定可能なスリープ時間とジッターを使い、柔軟な C2 プロファイルに対して HTTP/HTTPS でビーコニングします。
  2. DNS トンネリング C2：攻撃者が制御するドメインへの、エンコードされた DNS TXT/CNAME クエリを通じたデータ窃取とコマンド受信です。
  3. HTTPS 経由の Sliver C2：設定可能なビーコン間隔とドメインフロンティングを使用する、最新の C2 フレームワークです。
  4. DGA ベースの C2：マルウェアが毎日ランダムなドメインを生成し、攻撃者が今後使用されるドメインを登録して C2 に利用します。
  5. 正規サービスの悪用：正規のクラウドサービス（Azure、AWS、Slack、Discord、Telegram）を使った C2 です。

出力形式

Hunt ID: TH-C2-[DATE]-[SEQ]
Source IP: [Internal IP]
Source Host: [Hostname]
Destination: [Domain/IP]
Protocol: [HTTP/HTTPS/DNS/Custom]
Beacon Interval: [Average seconds]
Jitter: [Percentage]
Connection Count: [Total connections]
Data Volume: [Bytes sent/received]
First Seen: [Timestamp]
Last Seen: [Timestamp]
Domain Age: [Days]
TI Match: [Yes/No - source]
Risk Level: [Critical/High/Medium/Low]

コメント

Markdown 対応