Como identificar Command and Control no tráfego de rede
A identificação de Command and Control é feita mapeando o fluxo, tempos, protocolos, DNS/TLS/HTTP e a sua relação com o ativo. Um único pacote ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
O tráfego de rede fornece uma perspetiva que não depende apenas do endpoint. Permite identificar quem comunicou com quem, qual protocolo, em que ordem e volume, mas requer uma compreensão dos limites da visibilidade e da encriptação. Este artigo foca-se na identificação de Command and Control e destina-se a analistas SOC e Threat Hunters. O objetivo é fornecer uma metodologia de trabalho que possa ser aplicada em exercícios práticos, entrevistas profissionais e ambientes de trabalho, sem se contentar com uma definição de dicionário.
O principal desafio é que os dados são quase sempre incompletos. Intervalo de beacon, jitter, destino raro podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construímos a verificação em torno de uma questão de investigação, evidências necessárias e um critério claro para conclusão.
O cenário prático no artigo é: identificação de um padrão a partir de conexões de rede simuladas. Todos os exemplos são dados de laboratório ou descrições processuais. Quando se trata de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, escopo definido e capacidade de interromper o teste.
