mcpField
H
hunting-for-domain-fronting-c2-traffic

hunting-for-domain-fronting-c2-traffic

github.com/mukul975安全35.2k52 次安装8 周前更新
代码仓库

关于 hunting-for-domain-fronting-c2-traffic

这项安全狩猎技能用于从代理和 Web 网关日志中识别域前置 C2 流量。它结合 SNI 与 Host 不匹配、证书和 CDN 信息，生成结构化指标。

主要功能

  1. 01解析含 SNI 和 Host 字段的代理日志
  2. 02查找 SNI 与 Host 不匹配
  3. 03检查 TLS 证书详情
  4. 04根据证书和 IP 范围识别 CDN 提供商
  5. 05按域名信誉差异评估告警

适用场景

  1. 01调查疑似域前置活动
  2. 02编写检测规则和威胁狩猎查询
  3. 03评估相关技术的监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-domain-fronting-c2-traffic

安装后在 Claude Code 中输入/hunting-for-domain-fronting-c2-traffic确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

追踪 Domain Fronting C2 流量

概述

Domain fronting（MITRE ATT&CK T1090.004）是一种攻击者利用 TLS SNI 字段和 HTTP Host 头中使用不同域名，将 C2 流量伪装在合法 CDN 托管域名背后的技术。本技能通过解析代理/Web 网关日志以发现 SNI 与 Host 头不匹配、分析 TLS 证书以识别 CDN 提供商、标记 SNI 指向高信誉域名但 Host 头指向攻击者控制域名的连接，并与已知 CDN 提供商 IP 范围进行关联，从而检测 domain fronting。

何时使用

  • 在调查需要追踪 domain fronting c2 流量的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖情况时

前置条件

  • 包含 SNI 和 Host 头字段的 Web 代理或安全 Web 网关日志
  • Python 3.8+ 以及 pyOpenSSL 和 cryptography 库
  • 在代理上启用 TLS 检查以获取 Host 头可见性
  • CDN 提供商 IP 范围列表（CloudFront、Azure CDN、Cloudflare）

步骤

  1. 解析代理日志，查找同时包含 SNI 和 Host 头字段的连接
  2. 将 SNI 域名与 HTTP Host 头进行比较，查找不匹配项
  3. 使用 pyOpenSSL 提取 TLS 证书的 Subject 和 SAN 字段
  4. 通过证书颁发者和 IP 范围识别 CDN 托管的连接
  5. 在 CDN IP 上标记 SNI 与 Host 不一致的高置信度 domain fronting
  6. 根据域名信誉差异对告警进行评分
  7. 生成包含网络流上下文的检测报告

预期输出

包含检测到的 domain fronting 指标的 JSON 报告，其中包括 SNI-Host 对、证书详情、CDN 提供商识别、置信度评分以及 MITRE ATT&CK 技术映射。

评论

支持 Markdown