Beaconing
Wenn eine kompromittierte Maschine sich regelmäßig bei ihrem Command-and-Control-Server meldet, um Anweisungen abzuholen. Das vorhersehbare, periodische Muster ist zugleich Funktionsprinzip von C2 und einer der besten Hinweise darauf, dass eine Maschine infiziert ist.
Mechanik: Statt eine offene Verbindung zu halten (leicht zu entdecken), meldet sich die infizierte Maschine in festen Abständen — sagen wir alle 60 Sekunden — und fragt: „Hast du etwas für mich?" Angreifer fügen Jitter (zufällige Schwankung im Intervall) und Ruhephasen hinzu, um das Muster unregelmäßiger und schwerer erkennbar zu machen. Erkennung: Gerade die Regelmäßigkeit verrät sie — Sicherheitswerkzeuge suchen nach ausgehenden Verbindungen mit periodischem, sich wiederholendem Zeitmuster zum selben Ziel, sogar durch verschlüsselten Verkehr hindurch, anhand von Timing und Paketgröße. Beaconing zu identifizieren ist eine klassische Methode, um verborgene Einbrüche im Netzwerkverkehr aufzuspüren. Eng verknüpft mit Command-and-Control und DNS-Tunneling.