用途：在安全团队主动狩猎被入侵主机、威胁情报指向本行业 C2 框架、调查周期性可疑外连、事件响应中定位活跃 C2 通道，或 DNS 日志出现异常模式时使用。
主要能力：识别信标特征（固定间隔、小载荷、目标一致、含抖动），汇总代理、DNS 与连接元数据，对连接间隔做统计分析（标准差、变异系数），过滤 Windows 更新、杀软更新、心跳服务、NTP 等正常周期流量，结合威胁情报、WHOIS 与证书透明日志核查目标信誉，并将信标活动与端点进程创建、用户上下文、文件系统变化关联，最终确认并阻断 C2。
关键概念：覆盖 MITRE ATT&CK 的 T1071（应用层协议 C2）、T1071.001（HTTP/S）、T1071.004（DNS 隧道）、T1573 加密通道、T1572 协议隧道、T1568 动态解析（DGA、fast-flux）、T1132 数据编码、T1095 非应用层协议，以及信标间隔、抖动、DGA、fast-flux 等。典型场景包括 Cobalt Strike 信标、DNS 隧道 C2、Sliver over HTTPS、基于 DGA 的 C2 和滥用合法云服务的 C2。
前置条件：需具备含完整 URL 与时序的代理/防火墙日志、DNS 查询日志（被动 DNS、DNS 服务器日志或 Sysmon 事件 ID 22）、Zeek/Bro 连接日志或 NetFlow、具备统计分析的 SIEM（Splunk、Elastic），以及域名/IP 信誉威胁情报源。
工具与输出：可用 RITA、Splunk、Elastic Security、Zeek/Bro、Suricata、VirusTotal、PassiveDNS、Flare 等；按固定字段输出狩猎记录（Hunt ID、源 IP/主机、目标、协议、平均间隔、抖动、连接数、数据量、首末次出现、域名年龄、情报匹配、风险等级）。
限制：原文未提供具体命令、配置细节、价格或效果保证；实际成效取决于日志完整性与情报质量。