Hoe detecteer je C2-beaconing?

Zoek naar een host die met bijna regelmatige tussenpozen, de klok rond, verbinding maakt met dezelfde externe bestemming en daarbij kleine berichten van vergelijkbare grootte stuurt. Het patroon is zichtbaar in flowdata en firewalllogs, ook bij versleuteld verkeer, omdat tijdstip, volume en bestemming niet versleuteld zijn.