VIP20

本课程属于：012-IoT僵尸网络防御 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

网络行为分析识别C2控制通信

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

什么是C2（命令与控制）、C2在攻击链中的位置、C2通信的生命周期。

网络流量基础

TCP/IP协议栈回顾、HTTP/HTTPS协议基础、DNS协议基础。

C2通信特征分析

心跳包机制、Beaconing行为、数据编码与加密。

常见C2框架介绍

Cobalt Strike、Metasploit、Empire、Sliver。

网络日志采集

Windows Event Log、Sysmon、Zeek（Bro）日志、网络流数据（NetFlow）。

流量捕获工具

tcpdump、Wireshark、tshark基础使用。

静态特征检测

基于IP/域名黑名单、基于JA3/JA3S指纹、基于SSL证书特征。

动态行为检测

时间序列分析（周期性）、流量大小分析、连接频率分析。

DNS隧道检测

DNS查询类型异常、域名熵值分析、TXT记录长度异常。

HTTP/HTTPS C2检测

User-Agent异常、请求头顺序异常、Cookie内容分析。

非标准端口检测

端口扫描与识别、协议违背检测、端口与服务不匹配。

机器学习基础

特征工程概念、监督学习与无监督学习、常用算法简介（随机森林、SVM、K-Means）。

基于机器学习的C2检测

特征提取（流量统计特征）、模型训练流程、模型评估指标（准确率、召回率、F1）。

使用Cobalt Strike生成流量、使用Sliver生成流量、使用自定义Python脚本模拟。

数据集构建

公开数据集介绍（CTU-13、CICIDS2017）、数据清洗与标注、数据不平衡处理。

数据预处理

Zeek安装与配置、编写Zeek脚本检测HTTP C2、Zeek日志分析。

Suricata规则编写、检测C2通信的规则示例、规则测试与优化。

YARA规则语法、编写YARA规则检测C2 Payload、YARA在内存取证中的应用。

威胁情报集成

STIX/TAXII标准、MISP平台使用、开源威胁情报源（AlienVault OTX、VirusTotal）。

Cuckoo Sandbox基础、动态行为分析、网络行为提取。

内存取证分析

Volatility基础、检测隐藏进程、提取C2配置信息。

二进制协议分析基础、使用Wireshark解析自定义协议、编写Wireshark解析器。

域前置（Domain Fronting）、CDN滥用、社交平台C2（Twitter、Telegram）。

C2基础设施追踪

Whois查询、反向IP查询、证书透明度日志分析。

事件响应流程

检测到C2后的响应步骤、隔离与取证、IOC提取与共享。

如何构建隐蔽C2通道、C2重定向器设置、流量伪装技术。

网络分段与微隔离、终端检测与响应（EDR）、SOAR自动化响应。

实战案例1：Emotet

分析Emotet的C2通信模式、Emotet流量特征、检测规则编写。

实战案例2：TrickBot

分析TrickBot的C2通信模式、TrickBot模块化C2、检测方法。

课程总结与未来趋势

C2检测的挑战、AI对抗、零信任架构下的C2防御。