Network Traffic & Malware C2 Beacon Detection
ตรวจจับ C2 Beaconing จากความถี่สม่ำเสมอ แยกเหตุการณ์ exfiltration และดึง IOC
🎯 ภารกิจของผู้เรียน
ดาวน์โหลด Network Flow Log คัดลอก Prompt ไปวางใน AI พร้อมแนบไฟล์ แล้วตรวจสอบว่า AI ตรวจจับ C2 Beaconing จากความถี่และขนาด payload, ระบุเหตุการณ์ exfiltration และดึง IOC ได้ครบหรือไม่
✅ ตัวอย่าง: ตรวจจับ Command-and-Control Beaconing และการขโมยข้อมูล 📥 Download Mock Data
📋 สถานการณ์ (Scenario)
เครื่องในเครือข่ายองค์กรถูกสงสัยว่าติดมัลแวร์ Threat Hunter ส่งออก Network Flow Log ที่มีทั้งทราฟฟิกปกติและทราฟฟิกต้องสงสัย ภารกิจคือตรวจจับ Command-and-Control (C2) Beaconing จากความถี่สม่ำเสมอและขนาด payload ที่เท่ากัน แยกเหตุการณ์ exfiltration ออกมา และดึง Indicators of Compromise
📊 ตัวอย่างข้อมูลดิบ (Mock Raw Data) — snake_case schema
flow_time,src_ip,dst_ip,dst_port,protocol,bytes_out,bytes_in,dst_domain
2026-05-10 10:00:00,10.0.0.15,8.8.8.8,443,tcp,1200,8000,www_google_com
2026-05-10 10:00:05,10.0.0.15,91.92.240.10,443,tcp,512,256,x7g2k9_duckdns_org
2026-05-10 10:05:05,10.0.0.15,91.92.240.10,443,tcp,512,256,x7g2k9_duckdns_org
2026-05-10 10:10:05,10.0.0.15,91.92.240.10,443,tcp,512,256,x7g2k9_duckdns_org
2026-05-10 10:15:05,10.0.0.15,91.92.240.10,443,tcp,512,256,x7g2k9_duckdns_org
2026-05-10 10:32:40,10.0.0.15,91.92.240.10,443,tcp,8400000,512,x7g2k9_duckdns_org
2026-05-10 10:33:01,10.0.0.15,142.250.10.5,443,tcp,2200,15000,www_youtube_com
📝 Prompt สำหรับผู้เรียน (คัดลอกไปใช้กับ AI)
You are a threat hunter analyzing a potential compromise. Using the attached network flow log: 1. Identify C2 beaconing behavior, justified by the regular time interval between connections and the uniform payload sizes. 2. Distinguish the malicious traffic from legitimate web browsing, explaining what makes the destination domain suspicious. 3. Pinpoint the data-exfiltration event and state the volume of data sent out, contrasting it with the normal heartbeat size. 4. Extract the indicators of compromise (IOCs): the malicious IP, domain, and port. Present a threat-hunting report with the IOCs and a recommended containment action for the infected host.