لایه شبکه معمولاً سریع‌ترین راه به IOC است: دامنه، IP، SNI، مسیر URL و الگوی beacon. ترافیک مهمان فریم‌به‌فریم است و به پردازه وصل می‌شود.
جزئیات قابل بررسی
- فیلتر پروتکل‌های DNS / HTTP / TLS
- انتخاب فریم، مقصد، پورت و طول استریم
- ارتباط ترافیک با پردازه تولیدکننده
- استخراج دامنه، IP و URL برای کنترل‌ها
خروجی برای تیم
بدون خروج از تسک می‌توانید IOC شبکه بسازید و فرضیه C2 را رد یا تأیید کنید. برای DFIR هم می‌شود با لاگ‌های مرزی مقایسه کرد.