Caçando Beaconing com Análise de Frequência

Quando Usar

• Ao procurar proativamente por endpoints comprometidos chamando de volta para infraestrutura C2
• Após relatórios de inteligência de ameaças indicarem frameworks C2 ativos visando seu setor
• Quando logs de rede mostram conexões de saída periódicas para destinos desconhecidos
• Durante exercícios de equipe roxa validando capacidades de detecção de C2
• Ao investigar uma possível violação e precisar identificar canais C2 ativos

Pré-requisitos

• Logs de proxy/firewall de rede com carimbos de data/hora e dados de destino (mínimo de 24 horas)
• Zeek conn.log, dns.log e ssl.log ou dados equivalentes de NetFlow/IPFIX
• Plataforma SIEM com capacidade de análise estatística (Splunk, Elastic, Microsoft Sentinel)
• RITA (Real Intelligence Threat Analytics) ou AC-Hunter para análise automatizada de beacon
• Feeds de inteligência de ameaças para enriquecimento de reputação de domínio/IP

Fluxo de Trabalho

1. Definir Parâmetros de Beacon: Estabelecer limiares de detecção -- coeficiente de variação (CV) abaixo de 0.20 indica periodicidade forte, mínimo de 50 conexões em 24 horas, intervalo médio entre 30 segundos e 24 horas.
2. Coletar Telemetria de Rede: Agregar logs de proxy, consultas DNS, logs de conexão de firewall e metadados Zeek na plataforma de análise.
3. Calcular Intervalos de Conexão: Para cada par origem-destino, calcular a diferença de tempo entre conexões consecutivas e derivar o intervalo médio, desvio padrão e CV.
4. Aplicar Análise de Jitter: Frameworks C2 sofisticados como Cobalt Strike adicionam jitter (aleatoriedade) aos intervalos de beacon. O backdoor Sunburst fazia beacon a cada 15 minutos mais/menos 90 segundos. Analisar padrões de jitter para detectar até mesmo beaconing randomizado.
5. Filtrar Tráfego Periódico Legítimo: Excluir fontes de beaconing conhecidas como boas, incluindo Windows Update, atualizações de definição de antivírus, sincronização NTP, serviços de heartbeat SaaS e verificações de saúde de CDN.
6. Analisar Consistência do Tamanho dos Dados: Pacotes de heartbeat C2 geralmente têm tamanhos de payload consistentes. Calcular o CV de bytes transferidos por conexão -- baixa variância sugere comunicação automatizada.
7. Enriquecer com Inteligência de Ameaças: Verificar destinos de beaconing identificados contra VirusTotal, dados de registro WHOIS (marcar domínios com menos de 30 dias), logs de transparência de certificado e histórico de DNS passivo.
8. Correlacionar com Telemetria de Endpoint: Mapear IPs de origem de beaconing para nomes de host de endpoint via logs DHCP, em seguida, correlacionar com eventos de criação de processo (Sysmon Event ID 1, 3) para identificar o processo responsável.
9. Pontuar e Priorizar: Atribuir pontuações de risco com base no valor do CV, idade do domínio, correspondências de TI, consistência do tamanho dos dados e uso de porta suspeita. Escalar descobertas de alta confiança.

Conceitos Chave

Ferramentas e Sistemas

Consultas de Detecção

Splunk -- Análise de Frequência de Beacon HTTP/S

index=proxy OR index=firewall
| where NOT match(dest, "(?i)(microsoft|google|amazonaws|cloudflare|akamai)")
| bin _time span=1s
| stats count by src_ip dest _time
| streamstats current=f last(_time) as prev_time by src_ip dest
| eval interval=_time-prev_time

…