用途：面向安全事件调查与威胁狩猎，识别 Cobalt Strike Beacon 的 C2 回调流量。资料称其结合默认 TLS 证书特征（默认序列号 8BB00EE）、JA3/JA3S/JARM 指纹、信标间隔抖动分析以及 HTTP malleable 配置模式匹配来构建检测能力。
主要能力：以 Zeek 网络日志、Suricata IDS 规则和基于 Python 的 PCAP 分析为手段。流程为：一、在 Zeek ssl.log 中分析 TLS 证书，检测默认证书、指纹与 JARM；二、分析连接时序，识别带可配置抖动的规律回调间隔；三、匹配 HTTP 请求模式（URI 路径、头部、User-Agent）与已知 malleable C2 配置；四、将 TLS、时序、HTTP 多指标合并为综合信标置信度评分。输出为包含候选信标、置信度评分、TLS 指纹、时序分析、HTTP 配置匹配及建议响应动作的 JSON 报告。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师需要结构化流程、验证相关攻击技术的监控覆盖。
前置条件：Zeek 6.0+ 并安装 JA3 与 HASSH 包；Suricata 7.0+ 与 Emerging Threats 规则集；Python 3.9+ 及 scapy、dpkt 库；PCAP 抓包或实时 Zeek 日志；RITA 用于信标打分；含已知 Cobalt Strike IOC 的威胁情报源。
限制：具体安装命令、代码示例、价格与平台支持资料暂未提供。