mcpField
H
hunting-for-command-and-control-beaconing

hunting-for-command-and-control-beaconing

github.com/mukul975安全35.2k55 次安装8 周前更新
代码仓库

关于 hunting-for-command-and-control-beaconing

面向网络安全分析人员的 C2 信标狩猎技能，用于从网络遥测中识别可能的周期性命令与控制通信。流程涵盖频率分析、信誉核查、终端关联和响应。

主要功能

  1. 01识别信标通信特征
  2. 02汇总代理、DNS 和连接日志
  3. 03通过统计方法发现周期性连接
  4. 04排除已知正常流量
  5. 05核查域名和 IP 信誉
  6. 06关联终端活动并确认响应

适用场景

  1. 01主动搜寻网络中的受感染系统
  2. 02调查指向可疑域名的周期性连接
  3. 03根据威胁情报排查针对性 C2
  4. 04响应事件中确认活跃 C2 通道

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-command-and-control-beaconing

安装后在 Claude Code 中输入/hunting-for-command-and-control-beaconing确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

狩猎命令与控制 Beacon 通信

何时使用

  • 主动狩猎网络中已被攻陷的系统时
  • 威胁情报显示有 C2 框架针对你所在行业后
  • 调查发往可疑域名的周期性出站连接时
  • 事件响应期间识别活跃的 C2 通道时
  • DNS 查询日志显示针对特定域名的异常模式时

前提条件

  • 包含完整 URL 和时间数据的网络代理/防火墙日志
  • DNS 查询日志（被动 DNS、DNS 服务器日志或 Sysmon 事件 ID 22）
  • Zeek/Bro 网络连接日志或 NetFlow 数据
  • 具备统计分析能力的 SIEM（Splunk、Elastic）
  • 用于域名/IP 信誉的威胁情报源

工作流

  1. 识别 Beacon 通信特征：定义什么构成 Beacon 通信（规律间隔、小载荷大小、固定目标、抖动模式）。
  2. 收集网络遥测数据：聚合代理日志、DNS 查询和连接元数据以供分析。
  3. 应用频率分析：使用统计方法（标准差、变异系数）识别具有规律间隔的连接。
  4. 过滤已知良性流量：排除合法的周期性流量（Windows Update、杀毒软件更新、心跳服务、NTP）。
  5. 分析域名/IP 信誉：将识别出的 Beacon 目标与威胁情报、WHOIS 数据和证书透明度日志进行比对。
  6. 调查端点上下文：将 Beacon 活动与源端点上的进程创建、用户上下文和文件系统变更关联起来。
  7. 确认并响应：验证 C2 活动，阻断通信，并启动事件响应。

关键概念

概念描述
T1071应用层协议（HTTP/HTTPS/DNS C2）
T1071.001Web 协议（HTTP/S Beacon 通信）
T1071.004DNS（DNS 隧道 C2）
T1573加密通道
T1572协议隧道
T1568动态解析（DGA、Fast-Flux）
T1132C2 中的数据编码
T1095非应用层协议
Beacon 间隔C2 签到之间的时间
抖动Beacon 间隔中的随机变化
DGA域名生成算法
Fast-Flux快速变化的 DNS 解析

工具与系统

工具用途
RITA（Real Intelligence Threat Analytics）在 Zeek 日志中自动检测 Beacon
Splunk使用 SPL 进行统计 Beacon 分析
Elastic Security基于机器学习的 Beacon 异常检测
Zeek/Bro网络连接元数据收集
Suricata具备 JA3/JA4 指纹识别的网络 IDS
VirusTotal域名和 IP 信誉检查
PassiveDNS历史 DNS 解析数据
FlareC2 配置检测

常见场景

  1. Cobalt Strike Beacon：HTTP/HTTPS Beacon 通信，具有可配置的休眠时间和抖动量，适配 malleable C2 配置。
  2. DNS 隧道 C2：通过向攻击者控制的域名发送编码后的 DNS TXT/CNAME 查询来泄露数据和接收命令。
  3. 基于 HTTPS 的 Sliver C2：现代 C2 框架，使用 HTTPS 并具备可配置的 Beacon 间隔和域名前置。
  4. 基于 DGA 的 C2：恶意软件每天生成随机域名，攻击者注册即将使用的域名用于 C2。
  5. 合法服务滥用：通过合法云服务（Azure、AWS、Slack、Discord、Telegram）进行 C2 通信。

输出格式

Hunt ID: TH-C2-[DATE]-[SEQ]
Source IP: [Internal IP]
Source Host: [Hostname]
Destination: [Domain/IP]
Protocol: [HTTP/HTTPS/DNS/Custom]
Beacon Interval: [Average seconds]
Jitter: [Percentage]
Connection Count: [Total connections]
Data Volume: [Bytes sent/received]
First Seen: [Timestamp]
Last Seen: [Timestamp]
Domain Age: [Days]
TI Match: [Yes/No - source]
Risk Level: [Critical/High/Medium/Low]

评论

支持 Markdown