hunting-for-cobalt-strike-beacons

name	hunting-for-cobalt-strike-beacons
description	使用默认 TLS 证书签名（序列号 8BB00EE）、JA3/JA3S/JARM 指纹、HTTP C2 配置文件模式匹配、信标抖动分析和命名管道检测，通过 Zeek、Suricata 和 Python PCAP 分析检测 Cobalt Strike 信标网络活动。
domain	cybersecurity
subdomain	threat-hunting
tags	["cobalt-strike","beacon","threat-hunting","c2","zeek","suricata","ja3","jarm","network-forensics"]
version	1.0
author	mahipal
license	Apache-2.0

狩猎 Cobalt Strike 信标

概述

Cobalt Strike 是红队和威胁行为者最常用的命令与控制框架。其主要 payload——Beacon，使用可配置的 HTTP/HTTPS/DNS 配置文件与团队服务器通信，这些配置文件可模拟合法流量。然而，默认配置和行为模式仍可通过 TLS 证书分析（默认序列号 8BB00EE）、JA3/JA3S 指纹识别、信标间隔抖动分析和 HTTP 可延展配置文件模式匹配来检测。本技能涵盖使用 Zeek 网络日志、Suricata IDS 规则和基于 Python 的 PCAP 分析来识别网络流量中信标回调的检测能力建设。

前置条件

• 安装了 JA3 和 HASSH 包的 Zeek 6.0+
• 带 Emerging Threats 规则集的 Suricata 7.0+
• Python 3.9+ 及 scapy 和 dpkt 库
• 网络流量捕获（PCAP）或实时 Zeek 日志
• 用于信标评分的 RITA（Real Intelligence Threat Analytics）
• 带已知 Cobalt Strike IOC 的威胁情报 feeds

步骤

步骤 1：TLS 证书分析

使用 Zeek ssl.log 中的 JA3S 指纹、证书序列号和 JARM 指纹检测默认 Cobalt Strike 证书。

步骤 2：信标间隔分析

分析连接时间模式，识别具有可配置抖动的规律性回调间隔，这是信标行为的典型特征。

步骤 3：HTTP 配置文件检测

将 HTTP 请求模式（URI 路径、请求头、User-Agent）与已知的可延展 C2 配置文件进行匹配。

步骤 4：关联并评分

将多个指标（TLS + 时序 + HTTP 配置文件）组合为综合信标置信度评分。

预期输出

包含检测到的信标候选项的 JSON 报告，内容涵盖置信度评分、TLS 指纹、时序分析、HTTP 配置文件匹配和建议响应措施。