Wie erkennt man C2-Beaconing?

Achten Sie auf einen Host, der sich in nahezu regelmäßigen Abständen rund um die Uhr mit demselben externen Ziel verbindet und dabei kleine Nachrichten ähnlicher Größe schickt. Das Muster zeigt sich in Flow-Daten und Firewall-Logs, auch bei verschlüsseltem Verkehr, denn Zeitpunkte, Volumen und Ziel sind nicht verschlüsselt.