💀 - ビーコンが死亡したことを示します

最後のチェックイン時間が最大予想チェックイン時間 * 2 より大きい場合に計算されます。これは「デッドタイム」と呼ばれます。

例：sleep 300 20 のビーコンのデッドタイムは 720 になります。

❎ - ビーコンがオペレーターによって強制終了されたことを示します

beacon['alive'] が false の場合、オペレーターがこのビーコンを強制終了/終了し、ビーコンが終了コマンドを確認しました。

⚠ - ビーコンが dying（死亡しつつある）状態であることを示します

最後のチェックインが最大予想チェックイン時間より大きく、デッドタイム未満である場合に計算されます。

⏸ - ビーコンが一時停止中であることを示します

これはリンクされたビーコンで、切断されているがまだ生きているとみなされます。これらのビーコンは親に依存して通信します。死亡としてマークする代わりに、一時停止としてマークされます。切断されたビーコンのプロセスを追跡する良い方法はありません。

以下は、Cobalt Strike クライアントでのこれらのアイコンの表示例です。

ビーコン ID と PID が初期ビーコンイベントログメッセージに追加されました。

使用方法

スクリプトマネージャーから beaconhealth.cna ファイルを読み込みます。

スクリプトコンソールで get_BeaconHealthCheck_settings 関数を使用して、ビーコンのスリープ/ジッタートラッカーを表示します。

スクリプトについて知っておくべきこと

• ノートフィールドを使用します。自由に編集できます。ヘルスチェック中にノートの最初の文字が適切なシンボルで更新されます。
• リンクされたビーコンにはスリープがありません。スリープはリンクされたビーコンの親によって追跡されます。
• スリープ設定は追跡前に検証されません。死亡したビーコンにスリープを設定すると、ビーコンが実際にスリープを処理する前にシンボルが変わることがあります。
• ヘルスチェックは長時間動作するビーコンを監視するように設計されています。
  • ヘルスは1分ごとに測定されます
  • これは依然として過剰かもしれません
  • チェックを開始するハートビートイベントを変更することでタイミングを調整できます。
• 追跡データベースは永続的ではありません。Cobalt Strike クライアントを閉じて再接続すると、データベースがリフレッシュされ、ビーコンが NEW としてマークされる可能性があります。