用途：在网络层识别勒索软件加密前的活动窗口，即在数据被加密前发现初始访问、C2建立、凭据收集、侦察、横向移动与暂存等阶段的可观测迹象，以便尽早遏制。资料指出从Cobalt Strike部署到加密的平均时间约17分钟，因此强调加密前检测窗口；不适用于加密后的响应。
主要能力：将网络可观测指标映射到勒索软件杀伤链各阶段，使用Suricata规则检测Cobalt Strike TLS证书与DNS信标、DCSync/Mimikatz、内部端口扫描、PsExec服务安装、内部RDP暴力破解及大文件SMB传输；使用Zeek脚本检测SMB暴力破解与内部扫描；提供Splunk与Microsoft Sentinel的相关规则示例；集成abuse.ch Feodo Tracker、URLhaus、ThreatFox及CISA已知被利用漏洞等威胁情报源；定义基于置信度的告警分诊与升级流程。
使用方式：需在TAP或SPAN端口部署Zeek/Suricata/Arkime等网络检测平台，并在SIEM中摄取网络日志，同时具备NetFlow/IPFIX、DNS查询日志与全包捕获能力。按资料中的工作流部署检测规则、创建关联规则、更新情报源并执行分诊。必要命令需保持原样，例如curl -s https://feodotracker.abuse.ch/downloads/ipblocklist.csv。
适用场景：构建加密前检测规则、监控初始访问代理指标、创建链式高置信告警、调优检测系统以区分勒索软件暂存与正常管理活动，以及调查可能已被建立据点的可疑网络模式。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；需依赖已有网络检测与SIEM基础设施及威胁情报源；阈值设置过高可能漏掉慢速侦察，需注意误报与加密流量分析。