| 检测点 | C&C 域名解析、心跳周期性特征、非标准端口外连 |
|---|---|
| 数据 | 信誉库与情报、流量行为分析 |
| 处置 | 隔离主机、阻断回连、排查入侵路径 |
处置流程
处置流程
1. 确认告警对应主机与进程
2. 网络侧阻断 C&C 通信（临时）
3. 主机侧隔离排查（取证优先于重装）
4. 清理后观察是否复现先阻断再排查：避免在排查期间持续外发数据。
僵尸网络与回连检测
检测内网主机与恶意 C&C 的通信（心跳、DNS 查询、非标端口连接）是发现失陷主机的关键手段。
易错点
- 只阻断网络不查主机，木马换个域名就会重新回连
- 直接重装主机再排查，会丢失入侵路径与横向扩散证据
数据来源与参考
- NIST SP 800-83（恶意软件防护指南）
- 华为 USG6000 产品文档：僵尸网络检测