Detectando Padrões de Beaconing com Zeek

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de padrões de beaconing com Zeek
• Ao criar regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Carregue dados do Zeek conn.log usando ZAT (Zeek Analysis Tools), agrupe conexões por pares de origem/destino e calcule estatísticas de tempo para identificar beaconing.

from zat.log_to_dataframe import LogToDataFrame
import numpy as np

log_to_df = LogToDataFrame()
conn_df = log_to_df.create_dataframe('/path/to/conn.log')

# Group by src/dst pair and calculate inter-arrival time
for (src, dst), group in conn_df.groupby(['id.orig_h', 'id.resp_h']):
    times = group['ts'].sort_values()
    intervals = times.diff().dt.total_seconds().dropna()
    if len(intervals) > 10:
        std_dev = np.std(intervals)
        mean_interval = np.mean(intervals)
        # Low std_dev relative to mean = likely beaconing

Etapas chave da análise:

1. Analise o Zeek conn.log em um DataFrame com ZAT LogToDataFrame
2. Agrupe conexões por pares de IP de origem e IP de destino
3. Calcule os intervalos de tempo entre chegadas de conexões consecutivas
4. Calcule o desvio padrão e o coeficiente de variação
5. Marque pares com baixo coeficiente de variação como potenciais beacons

Exemplos

from zat.log_to_dataframe import LogToDataFrame
log_to_df = LogToDataFrame()
df = log_to_df.create_dataframe('conn.log')
print(df[['id.orig_h', 'id.resp_h', 'ts', 'duration']].head())