Beaconing (маяк)
Когда взломанная машина регулярно «звонит домой» на сервер управления, чтобы получить инструкции. Предсказуемый периодический шаблон — одновременно и принцип работы C2, и один из лучших признаков заражения.
Механика: вместо постоянного соединения (его легко заметить) заражённая машина выходит на связь через регулярные интервалы — скажем, раз в 60 секунд — и спрашивает: «Что-нибудь для меня есть?». Атакующие добавляют джиттер (случайный разброс интервала) и периоды «сна», чтобы шаблон был менее регулярным и его было труднее обнаружить. Обнаружение: выдаёт как раз регулярность — средства безопасности ищут исходящие соединения с периодической, повторяющейся временной картиной к одному и тому же адресу (даже в шифрованном трафике, по времени и размеру пакетов). Выявление beaconing — классический способ находить скрытые вторжения в сетевом трафике. Тесно связан с C2-инфраструктурой, с которой общается маяк. Родственен командно-управляющим серверам и DNS-туннелированию.