回连行为是失陷的信号
主机被植入木马后，通常要连回控制端获取指令，这些回连在流量上有可识别的特征：周期性的心跳、解析已知恶意域名、连接非标准端口或与历史情报匹配的地址。检测回连的价值在于它是失陷的直接证据——内网主机主动外的这类连接一旦出现，说明边界已经被穿透，需要按事件响应的流程处理。
基本信息
| 适用平台 | 华为 USG 的僵尸网络检测、深信服 AF/IPS、威胁检测类设备 |
|---|---|
| 检测点 | C&C 域名解析、心跳周期性特征、非标准端口外连、情报命中 |
| 依赖数据 | 信誉库与威胁情报，需要保持更新 |
| 处置原则 | 网络侧先阻断，主机侧取证后清理 |
典型使用场景
- 内部主机异常外连：某台终端出现规律性连接，指向陌生地址
- DNS 日志回溯：批量检查终端是否解析过已知恶意域名
- 隔离与取证：确认失陷后先限制通信，再保留现场做分析
- 横向扩散排查：一台失陷往往意味着同网段还需要继续找
- 复盘与加固：定位入侵入口，反推边界与终端防护的缺口
处置流程
处置流程
1. 确认告警对应的内部主机与外连进程，记录时间线与目标地址
2. 在网络侧临时阻断该主机的 C&C 通信，阻断范围尽量精确
3. 主机侧隔离排查，取证优先于重装，保留进程、注册表与日志
4. 清理后持续观察一段时间，确认回连行为未复现
5. 反向排查入侵入口与同网段其他主机，补齐边界与终端防护回连特征对照
| 特征 | 表现 | 判读要点 |
|---|---|---|
| 周期性心跳 | 固定间隔发起连接 | 间隔规律性越强越可疑 |
| 域名解析异常 | 解析长随机字符串域名 | 结合情报与域名生成特征 |
| 非标端口外连 | 连接高位端口或非常用服务 | 需结合业务白名单排除 |
| 情报命中 | 目标地址在威胁情报中 | 注意情报时效性与误判 |
处置顺序建议先阻断再排查：一边排查一边让主机继续外发数据，可能造成数据泄露与木马远程更新，得不偿失。