hunting-for-cobalt-strike-beacons

狩猎 Cobalt Strike Beacon

概述

Cobalt Strike 是红队和威胁行为者最常使用的命令与控制框架。Beacon 是其主要载荷，通过可配置的 HTTP/HTTPS/DNS 配置文件与团队服务器通信，这些配置文件可以模仿合法流量。然而，默认配置和行为模式仍可通过 TLS 证书分析（默认序列号 8BB00EE）、JA3/JA3S 指纹识别、Beacon 间隔抖动分析，以及 HTTP 可塑配置文件模式匹配来检测。本技能涵盖使用 Zeek 网络日志、Suricata IDS 规则和基于 Python 的 PCAP 分析构建检测能力，以识别网络流量中的 Beacon 回调。

何时使用

• 当调查需要狩猎 Cobalt Strike Beacon 的安全事件时
• 当为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 当验证相关攻击技术的安全监控覆盖范围时

先决条件

• Zeek 6.0+，并安装 JA3 和 HASSH 包
• Suricata 7.0+，并配置 Emerging Threats 规则集
• Python 3.9+，并安装 scapy 和 dpkt 库
• 网络流量捕获（PCAP）或实时 Zeek 日志
• RITA（Real Intelligence Threat Analytics）用于 Beacon 评分
• 包含已知 Cobalt Strike IOC 的威胁情报源

步骤

步骤 1：TLS 证书分析

使用 Zeek ssl.log 中的 JA3S 指纹、证书序列号和 JARM 指纹检测默认 Cobalt Strike 证书。

步骤 2：Beacon 间隔分析

分析连接时间模式，以识别具有可配置抖动的规律性回调间隔，这是 Beacon 行为的特征。

步骤 3：HTTP 配置文件检测

将 HTTP 请求模式（URI 路径、标头、用户代理）与已知的可塑 C2 配置文件进行匹配。

步骤 4：关联与评分

将多个指标（TLS + 时序 + HTTP 配置文件）组合成综合 Beacon 置信度评分。

预期输出

JSON 报告，包含检测到的 Beacon 候选对象及其置信度评分、TLS 指纹、时序分析、HTTP 配置文件匹配结果，以及建议的响应操作。