用途：主动发现被入侵端点向 C2 基础设施发起的周期性回连（信标），适用于威胁情报提示定向 C2 框架活动、日志出现陌生目的地的周期外连、紫队验证 C2 检测能力，以及入侵调查中识别活跃 C2 通道。
主要能力：按源-目的对计算连接间隔的均值、标准差与变异系数（CV）；做抖动分析以识别加入随机性的信标；过滤 Windows Update、杀软更新、NTP、SaaS 心跳、CDN 健康检查等合法周期流量；分析每次连接传输字节数的一致性；用 VirusTotal、WHOIS、证书透明度日志、被动 DNS 做情报富化；通过 DHCP 日志将源 IP 映射到主机，再关联 Sysmon（事件 ID 1、3）定位进程；按 CV 值、域名年龄、情报命中、数据大小一致性与可疑端口打分排序。
使用方式：需具备至少 24 小时含时间戳与目的地的代理/防火墙日志，Zeek conn.log、dns.log、ssl.log 或 NetFlow/IPFIX 数据，以及具备统计能力的 SIEM（Splunk、Elastic、Microsoft Sentinel），可配合 RITA/AC-Hunter 自动化信标分析。检测阈值示例：24 小时内连接数不少于 50、CV 低于 0.20、平均间隔在 30 秒到 24 小时之间。资料给出了 Splunk SPL、Microsoft Sentinel KQL 与 Sigma 规则示例，以及固定格式的狩猎输出模板（含源 IP/主机、目的地、协议、间隔、抖动估计、CV、连接数、数据大小 CV、域名年龄、情报命中、风险评分与等级）。
涉及概念包括 ATT&CK T1071.001、T1071.004、T1573、T1568.002，以及 RITA 信标评分、JA3/JA4 指纹、Fast-Flux DNS。
限制：资料未提供工具安装命令、具体参数取值以外的实施细节、收费或授权信息；检测效果依赖日志留存时长与质量，需先排除合法周期流量，否则易产生误报；具备强抖动或长休眠设计的信标可能更难被发现。