killvxk
killvxk/cybersecurity-skills-zh
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill hunting-for-command-and-control-beaconing命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
正在显示 SKILL.md
基于 SOC 职业分类
| name | hunting-for-command-and-control-beaconing |
| description | 通过频率分析、抖动检测和域名信誉评估，检测网络流量中的 C2 信标（Beaconing）模式，识别与攻击者基础设施通信的失陷终端。 |
| domain | cybersecurity |
| subdomain | threat-hunting |
| tags | ["threat-hunting","mitre-attack","c2","beaconing","network-analysis","proactive-detection"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
| 概念 | 描述 |
|---|---|
| T1071 | 应用层协议（HTTP/HTTPS/DNS C2） |
| T1071.001 | Web 协议（HTTP/S 信标） |
| T1071.004 | DNS（DNS 隧道 C2） |
| T1573 | 加密通道 |
| T1572 | 协议隧道 |
| T1568 | 动态解析（DGA、fast-flux） |
| T1132 | C2 数据编码 |
| T1095 | 非应用层协议 |
| 信标间隔 | C2 回连之间的时间间隔 |
| 抖动 | 信标间隔中的随机变化量 |
| DGA | 域名生成算法（Domain Generation Algorithm） |
| Fast-Flux | 快速变化的 DNS 解析记录 |
| 工具 | 用途 |
|---|---|
| RITA（Real Intelligence Threat Analytics） | 自动检测 Zeek 日志中的信标 |
| Splunk | 使用 SPL 进行统计信标分析 |
| Elastic Security | 基于机器学习的信标异常检测 |
| Zeek/Bro | 网络连接元数据采集 |
| Suricata | 支持 JA3/JA4 指纹的网络 IDS |
| VirusTotal | 域名和 IP 信誉查询 |
| PassiveDNS | 历史 DNS 解析数据 |
| Flare | C2 配置文件检测 |
狩猎 ID：TH-C2-[日期]-[序号]
源 IP：[内网 IP]
源主机：[主机名]
目标：[域名/IP]
协议：[HTTP/HTTPS/DNS/自定义]
信标间隔：[平均秒数]
抖动：[百分比]
连接次数：[总连接数]
数据量：[发送/接收字节数]
首次发现：[时间戳]
最后发现：[时间戳]
域名存在时间：[天数]
威胁情报匹配：[是/否 - 来源]
风险等级：[严重/高/中/低]