| 特征 | 路径模板、参数名、编码与分隔符 |
|---|---|
| 用途 | 把不同样本的外联归到同一簇 |
聚类前先归一
聚类前先归一
grep -oE 'https?://[^ "]+' urls.txt | sed 's/[0-9]\{4,\}/N/g' | sort | uniq -c | sort -rn | head -15结构相似仅作线索，归组结论要与样本哈希或证书特征互相印证。
URL 结构中的家族特征
恶意 URL 的路径与参数结构常带家族习惯（固定目录名、参数顺序、编码方式），按结构聚类可辅助样本与流量归组。
易错点
- 数字替换过粗会合并不同家族的模式
- 聚类结果用于排序线索优先级，不是定论
数据来源与参考
- SANS 流量聚类资料
- MITRE ATT&CK（C2 特征）