用途：当逆向恶意样本发现其网络通信需要协议分析、为特定 C2 框架（如 Cobalt Strike、Metasploit、Sliver）构建网络层检测签名、测绘 C2 基础设施（主服务器、备用域名、dead drop）、分析加密或编码的 C2 流量以理解命令集与数据格式，或依据 C2 基础设施模式与工具做威胁归因时使用。不适用于通用网络异常检测。
主要能力：识别 C2 通道（HTTP/HTTPS、DNS 隧道、自定义 TCP/UDP、ICMP、WebSocket、云服务 API、SMTP/IMAP）；分析信标周期、抖动与时长；解码 C2 协议结构；匹配已知 C2 框架签名（Cobalt Strike、Metasploit/Meterpreter、Sliver、Covenant、PoshC2）；测绘基础设施与故障切换；生成 Suricata 检测规则（HTTP 信标、JA3、DNS 隧道、证书匹配）。
前提与工具：恶意流量 PCAP、Wireshark/tshark、Ghidra/dnSpy、Python 3.8+（scapy、dpkt、requests）、威胁情报库（VirusTotal、Shodan、Censys）、JA3/JA3S 指纹库；CobaltStrikeParser 等。
工作流：定位 C2 通道；用 scapy 分析信标间隔与抖动；用 dpkt 解码 HTTP C2 结构并尝试 Base64 解码；匹配框架签名并提取 Cobalt Strike 配置；关联 Shodan 与被动 DNS；最后编写检测规则。
关键概念：beaconing、jitter、Malleable C2、dead drop、domain fronting、fast flux、C2 框架。限制：假设协议静态、流量样本不足、忽视备用通道、混淆加密载荷与协议分帧等均为常见陷阱。