logisek/baconsampler不審なビーコン状のコールバックを検出するため、送信トラフィックをスニッフィングします。なぜなら、スケジュール通りに戻ってくるなら、それはおそらく朝食ではないからです。
送信トラフィックをスニッフィングし、怪しいビーコン状のコールバックを検出します。なぜなら、定期的に戻ってくるなら、それはおそらく朝食ではないからです。
Bacon Samplerは軽量な送信接続キャッチャーで、ネットワークトラフィックの「焼ける音」を嗅ぎ分け、定期的で低速なコールバック（マルウェアが指令サーバーに連絡する際によく使うパターン）のような「ビーコン状」の動作にフラグを立てます。
送信接続とDNSルックアップを受動的に監視し、一定の間隔、繰り返される宛先、不自然なジッター、一貫したバイトサイズなど、通常のブラウジングとは異なり、ボットが指示を確認しに来ているように見えるパターンを強調表示します。
ビーと呼ぶにはちょっと…いや、もっと美味しいビーと呼べるでしょう。何かが毎回同じ時間に戻ってくるなら…それはベーコンを試食しているのです。
.mmdb) または DB-IP Lite (.mmdb).BIN)pip install -r requirements.txt
GeoIPデータベースをダウンロードし、パスをメモします：
.mmdb).BIN)無料のオンラインルックアップを希望する場合は、これをスキップして --geoip-online を使用できます。
インターフェースの一覧表示：
python capture_outbound.py --list-interfaces
インデックスでインターフェースを選択：
python capture_outbound.py --interface 0
複数のインターフェースを使用（繰り返し可能）：
python capture_outbound.py --interface "Ethernet" --interface "Wi-Fi"
またはカンマ区切り名：
python capture_outbound.py --interfaces "Ethernet,Wi-Fi"
オフラインGeoIPを使用したpcapのみのキャプチャ（A）：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --geoip-db "C:\Path\GeoLite2-Country.mmdb"
オフラインGeoIPを使用したpcap + netstatの関連付け（B）：
python capture_outbound.py --mode pcap_plus_netstat --duration 20 --interface "Ethernet" --geoip-db "C:\Path\GeoLite2-Country.mmdb"
オフラインGeoIPを使用したpcap + netstatの結合（A+B）：
python capture_outbound.py --mode both --duration 20 --interface "Ethernet" --geoip-db "C:\Path\GeoLite2-Country.mmdb"
オンラインGeoIP（無料、レート制限あり、ディスクにキャッシュ）：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --geoip-online ipapi
IPinfoトークンを使用したオンラインGeoIP：
$env:IPINFO_TOKEN="your_token_here"
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --geoip-online ipinfo
またはトークンを明示的に指定：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --geoip-online ipinfo --geoip-online-token "your_token_here"
オンラインGeoIPのタイムアウトとリトライの調整：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --geoip-online ipapi --geoip-timeout 2.5 --geoip-retries 1
逆DNSを無効化（高速実行）：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --no-dns
DNSタイムアウトの調整：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --dns-timeout 0.5
パケット数でキャプチャを制限：
python capture_outbound.py --mode pcap --duration 60 --packet-limit 5000
プロトコル、リモートポート、IP CIDRでフィルタリング：
python capture_outbound.py --filter-protocol tcp --filter-port 80,443,1000-2000 --allow-ip 1.2.3.0/24 --deny-ip 1.2.3.4/32
グループサマリーと上位N件：
python capture_outbound.py --group-by remote_ip,process --top 10
接続ごとの総バイト数を追跡：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --track-bytes
進捗表示を無効化：
python capture_outbound.py --no-progress
コンソール出力を無効化：
python capture_outbound.py --no-console
pcap + netstatの結合（A+B）+ オンラインGeoIP + pcap + CSV + HTMLの書き出し：
python capture_outbound.py --mode both --duration 20 --interface "Ethernet,Wi-Fi" --geoip-online ipapi --pcap-out "C:\Path\capture.pcap" --csv "C:\Path\outbound.csv" --html "C:\Path\outbound.html"
pcapのみ + 出力フォルダ + カスタムCSV/JSON名：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --output-dir "C:\Path\Reports" --csv "C:\Path\Reports\outbound.csv" --json "C:\Path\Reports\outbound.json"
ビーコン状アクティビティ検出（低速コールバック）：
python capture_outbound.py --duration 300 --beacon-min-duration 120 --beacon-min-interval 60 --beacon-max-interval 1800 --beacon-max-jitter 10 --beacon-min-packets 6 --beacon-max-rate 0.05
パターン検出（一定間隔、ジッター、繰り返し宛先、一貫したサイズ）：
python capture_outbound.py --duration 300 --track-bytes --pattern-high-jitter 120 --pattern-repeat-destination 4 --pattern-max-byte-jitter 64 --dns-pattern-min-queries 4
フィルタリング付きの厳しいビーコン + パターンしきい値：
python capture_outbound.py --duration 600 --filter-protocol tcp --filter-port 443 --track-bytes --beacon-min-duration 180 --beacon-min-interval 90 --beacon-max-interval 900 --beacon-max-jitter 5 --beacon-min-packets 8 --pattern-high-jitter 60 --pattern-repeat-destination 5 --pattern-max-byte-jitter 32
DNS特化キャプチャ（高速DNSルックアップ + DNSパターン）：
python capture_outbound.py --duration 180 --dns-timeout 0.25 --dns-pattern-min-queries 5 --pattern-repeat-destination 3
outbound_connections.csvoutbound_connections.json--html "report.html"*_beacon_findings.csv / *_beacon_findings.json*_connection_patterns.csv / *_connection_patterns.json*_dns_patterns.csv / *_dns_patterns.json*_unique_connections.csv / *_unique_connections.json*_unique_processes.csv / *_unique_processes.json*_group_remote_ip*.csv/json、*_group_process*.csv/json、*_group_country*.csv/jsonカスタムCSV/JSON出力パス：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --csv "C:\Path\outbound.csv" --json "C:\Path\outbound.json"
すべての出力をフォルダに送る：
python capture_outbound.py --mode pcap --duration 20 --output-dir "C:\Path\Reports"
HTML出力の書き出し：
python capture_outbound.py --html "outbound.html"
pcapファイルの書き出し：
python capture_outbound.py --mode pcap --duration 20 --interface "Ethernet" --pcap-out "capture.pcap"