数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载Cobalt Strike Beacon Corpus是 Fox-IT 开源的 Beacon 数据集可直接用于威胁情报与C2 IOC 监控。本文带你把它快速接入威胁情报工作流并覆盖数据引用与许可使用的完整边界帮助你少走弯路。一句话结论它是一份现成的 C2 情报原料——56,843 个独立 Beacon、190,182 次观测、覆盖 36,652 个ip:port。你不需要自己扫网抓样本拿来即可产出 IOC 清单。 数据集概览规模有多大Cobalt Strike Beacon Corpus 收集了2018 年 7 月至 2026 年 9 月间、从互联网暴露的 Team Server 下载的 Cobalt Strike Beacon 及其解析配置。核心指标如下指标数值独立 Beaconraw payloads56,843观测次数sightings190,182独立ip:port36,652首次观测2018-07-04最后观测2026-09-29对新手而言最直观的理解是每一行 某个时间点、某台 Team Server 下发过一个 Beacon并附带它被解析出的完整配置。这正好对应威胁情报里最需要的何时、何地、长什么样三要素。 数据来源从 Team Server 抓取 Beacon 的过程这个语料库不是从样本平台搬运来的而是 Fox-IT 用自己的全网扫描直接命中互联网暴露的 Team Server再请求 stager 拉回主要覆盖TCP 80 / 443HTTP / HTTPS和UDP 53DNS少量其它端口对 DNS 监听器则直接向服务器发送 TXT 记录查询每个 Beacon 都用dissect.cobaltstrike解析器解出结构化配置。 这意味着数据里没有来自样本平台的二手样本观测点就是真实的 C2 服务器地址天然适合做 IOC。 文件结构与 IOC 字段速查仓库里有两个数据文件和一个研究 notebook文件行数内容data/beacons.parquet190,182一次观测一行何时、何地从哪台 Beacon 抓取外加解析后的配置data/payloads.parquet56,843一个 Beacon 一行原始载荷以 CaRT 格式封装beacon_research.ipynb—官方示例统计、图表、IOC 挖掘多数场景只需要beacons.parquet只有当你要复解析或排查解析失败样本时才需要下载payloads.parquet。beacons.parquet一次观测一行IOC 主表这一列是 IOC 的核心来源常用字段字段含义情报用途collected_from_ip/collected_from_portTeam Server 地址与端口生成ip:portIOCprotocol监听协议http/https/dns…区分 C2 通道watermarkBeacon 水印十六进制攻击者画像 / 聚类version检测到的 Cobalt Strike 版本画像与时间线tls_fingerprint_sha256Team Server 证书 SHA256 指纹证书聚类sha256Beacon 原始载荷哈希关联payloads.parquetconfig_json完整解析配置JSON 字符串抽取域名等细节geo_asn/geo_countryIP 的 ASN / 国家地理分布payloads.parquet原始 Beacon 载荷字段含义sha256/md5载荷哈希可与beacons.parquet关联beacon_sizeBeacon 字节大小payload_cart以CaRT封装的原始载荷二进制⚠️ 原始 Beacon 是真实的恶意软件 stager可能含有可用 C2 地址。CaRT 封装是为了下载和存储时不被杀毒软件误杀解包请在隔离环境进行处理方式等同于任何恶意样本。 最快接入三步用 DuckDB 查询 C2 IOCDuckDB 可以直接就地查询 Parquet 文件无需建库建表是新手最省心的入口。第 1 步拿到数据git clone https://gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus第 2 步抽取 IOC以ip:port为例SELECT DISTINCT collected_from_ip, collected_from_port AS port FROM ./data/beacons.parquet ORDER BY collected_from_ip;第 3 步按水印聚合看清谁在用SELECT watermark, count(*) AS sightings, count(DISTINCT collected_from_ip) AS servers, min(collected_on) AS first_seen, max(collected_on) AS last_seen FROM ./data/beacons.parquet GROUP BY watermark ORDER BY sightings DESC LIMIT 10;官方 notebook beacon_research.ipynb 里还有更多现成查询与图表按协议分布、每月 Team Server 数量、版本演变、恶意 Beacon 定位等可作为你的起步模板直接改。✅ C2 IOC 监控工作流落地清单把数据变成一条可持续运行的监控流水线建议按下面四步落地提取 IOC用 SQL 从beacons.parquet抽取ip:port、域名config_json.domains、证书指纹、watermark导出成 IOC 清单CSV / JSON。入库与告警将 IOC 推入 SIEM / 威胁情报平台对ip:port、域名、tls_fingerprint_sha256设阈值与告警规则。关联去重以sha256、watermark、公钥为纽带把同一攻击者的多批 Beacon 聚类形成画像。周期性刷新数据集是快照。建议按固定周期重跑查询、对比新增 IOC再入库告警形成闭环。常见 IOC 类型与来源字段对照IOC 类型来源字段用途Team Serverip:portcollected_from_ip/collected_from_port封禁 / 监控C2 域名config_json.domainsDNS 阻断TLS 证书指纹tls_fingerprint_sha256证书聚类Watermarkwatermark攻击者画像Beacon 哈希sha256样本关联 数据引用规范论文与生产环境怎么写用于研究或发布报告时请带上官方 BibTeX 引用来自 README.mdmisc{hu2026cobaltstrike, title {{Fox-IT Cobalt Strike Beacon Corpus}}, author {Hu, Yun Zheng}, year 2026, publisher {Hugging Face}, organization {Fox-IT}, doi {10.57967/hf/10887}, url {https://huggingface.co/datasets/fox-srt/cobaltstrike-beacon-corpus}, note {Beacons collected from internet-facing Team Servers, July 2018 to September 2026} }小贴士内部情报报告里建议同时注明数据来源为 Fox-IT Cobalt Strike Beacon Corpus观测时间窗 2018-07 至 2026-09让读者能复现与核验。⚖️ 许可使用指南CC BY 4.0 的边界许可需要分两层理解这是很多使用者会踩的坑元数据与解析配置按Creative Commons Attribution 4.0 InternationalCC BY 4.0发布——可自由使用、传播、改编前提是署名保留作者与来源。原始 Beacon 载荷不在该许可覆盖范围内按原样提供、仅限研究用途。也就是说payloads.parquet里的原始样本不能当作 CC BY 4.0 素材来商用或再分发。一句话元数据放心用记得署名原始载荷只做研究。 使用边界与安全注意事项在把语料接入生产前务必注意这些官方提醒覆盖有限只包含匹配指纹且开启了 staging 的 Team Server关闭 staging、藏在 redirector / domain fronting 后的会被低估且以 80/443/53 为主。存在采集缺口因停机可能造成某些月份数据偏低请视为采集缺口而非Cobalt Strike 使用下降。并非全部恶意合法红队也使用 Cobalt Strike。不要仅凭本语料就把某个 IP / 域名 / watermark 判定为恶意。数据会过期IP 与域名会被回收复用。观测只说明采集当天该主机下发了什么不代表它今天仍在服务。安全处置原始 Beacon 是真实恶意 stager可能含可用 C2 地址解包与运行都在隔离环境进行像对待任何恶意样本一样对待。 相关文件索引文件说明README.md数据集说明、Schema、用法与许可本文主要依据data/beacons.parquetIOC 主表一次观测一行data/payloads.parquet原始 Beacon 载荷CaRT 封装beacon_research.ipynb官方示例统计、图表与 IOC 挖掘最后提醒把它当作高质量的 C2 情报原料而不是最终判定依据。结合自己的威胁情报平台做交叉验证才是这套语料最大的价值所在。赞分享数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载相关推荐OpenEBS LVM 卷组快照Volume Group Snapshot设计剖析多卷一致性快照的 CSI 实现路径OpenEBS LVM 卷组快照Volume Group Snapshot设计剖析多卷一致性快照的 CSI 实现路径 导读 本文围绕 OpenEBS 的数据集网络安全Cobalt Strike DNS Beacon 趋势研究基于 Beacon Corpus 完整分析 53 端口隐蔽 C2 流量Cobalt Strike DNS Beacon 趋势研究基于 Beacon Corpus 完整分析 53 端口隐蔽 C2 流量 Cobalt Strike数据集网络安全Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南 导读 本文档上一篇从克隆到跑通Docker 一键拉起 i茅台自动预约系统 campus-imaotai下一篇终极指南轻量级JS状态管理方案对比 - Zustand与Jotai入门教程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载Cobalt Strike Beacon Corpus是 Fox-IT 开源的 Beacon 数据集可直接用于威胁情报与C2 IOC 监控。本文带你把它快速接入威胁情报工作流并覆盖数据引用与许可使用的完整边界帮助你少走弯路。一句话结论它是一份现成的 C2 情报原料——56,843 个独立 Beacon、190,182 次观测、覆盖 36,652 个ip:port。你不需要自己扫网抓样本拿来即可产出 IOC 清单。 数据集概览规模有多大Cobalt Strike Beacon Corpus 收集了2018 年 7 月至 2026 年 9 月间、从互联网暴露的 Team Server 下载的 Cobalt Strike Beacon 及其解析配置。核心指标如下指标数值独立 Beaconraw payloads56,843观测次数sightings190,182独立ip:port36,652首次观测2018-07-04最后观测2026-09-29对新手而言最直观的理解是每一行 某个时间点、某台 Team Server 下发过一个 Beacon并附带它被解析出的完整配置。这正好对应威胁情报里最需要的何时、何地、长什么样三要素。 数据来源从 Team Server 抓取 Beacon 的过程这个语料库不是从样本平台搬运来的而是 Fox-IT 用自己的全网扫描直接命中互联网暴露的 Team Server再请求 stager 拉回主要覆盖TCP 80 / 443HTTP / HTTPS和UDP 53DNS少量其它端口对 DNS 监听器则直接向服务器发送 TXT 记录查询每个 Beacon 都用dissect.cobaltstrike解析器解出结构化配置。 这意味着数据里没有来自样本平台的二手样本观测点就是真实的 C2 服务器地址天然适合做 IOC。 文件结构与 IOC 字段速查仓库里有两个数据文件和一个研究 notebook文件行数内容data/beacons.parquet190,182一次观测一行何时、何地从哪台 Beacon 抓取外加解析后的配置data/payloads.parquet56,843一个 Beacon 一行原始载荷以 CaRT 格式封装beacon_research.ipynb—官方示例统计、图表、IOC 挖掘多数场景只需要beacons.parquet只有当你要复解析或排查解析失败样本时才需要下载payloads.parquet。beacons.parquet一次观测一行IOC 主表这一列是 IOC 的核心来源常用字段字段含义情报用途collected_from_ip/collected_from_portTeam Server 地址与端口生成ip:portIOCprotocol监听协议http/https/dns…区分 C2 通道watermarkBeacon 水印十六进制攻击者画像 / 聚类version检测到的 Cobalt Strike 版本画像与时间线tls_fingerprint_sha256Team Server 证书 SHA256 指纹证书聚类sha256Beacon 原始载荷哈希关联payloads.parquetconfig_json完整解析配置JSON 字符串抽取域名等细节geo_asn/geo_countryIP 的 ASN / 国家地理分布payloads.parquet原始 Beacon 载荷字段含义sha256/md5载荷哈希可与beacons.parquet关联beacon_sizeBeacon 字节大小payload_cart以CaRT封装的原始载荷二进制⚠️ 原始 Beacon 是真实的恶意软件 stager可能含有可用 C2 地址。CaRT 封装是为了下载和存储时不被杀毒软件误杀解包请在隔离环境进行处理方式等同于任何恶意样本。 最快接入三步用 DuckDB 查询 C2 IOCDuckDB 可以直接就地查询 Parquet 文件无需建库建表是新手最省心的入口。第 1 步拿到数据git clone https://gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus第 2 步抽取 IOC以ip:port为例SELECT DISTINCT collected_from_ip, collected_from_port AS port FROM ./data/beacons.parquet ORDER BY collected_from_ip;第 3 步按水印聚合看清谁在用SELECT watermark, count(*) AS sightings, count(DISTINCT collected_from_ip) AS servers, min(collected_on) AS first_seen, max(collected_on) AS last_seen FROM ./data/beacons.parquet GROUP BY watermark ORDER BY sightings DESC LIMIT 10;官方 notebook beacon_research.ipynb 里还有更多现成查询与图表按协议分布、每月 Team Server 数量、版本演变、恶意 Beacon 定位等可作为你的起步模板直接改。✅ C2 IOC 监控工作流落地清单把数据变成一条可持续运行的监控流水线建议按下面四步落地提取 IOC用 SQL 从beacons.parquet抽取ip:port、域名config_json.domains、证书指纹、watermark导出成 IOC 清单CSV / JSON。入库与告警将 IOC 推入 SIEM / 威胁情报平台对ip:port、域名、tls_fingerprint_sha256设阈值与告警规则。关联去重以sha256、watermark、公钥为纽带把同一攻击者的多批 Beacon 聚类形成画像。周期性刷新数据集是快照。建议按固定周期重跑查询、对比新增 IOC再入库告警形成闭环。常见 IOC 类型与来源字段对照IOC 类型来源字段用途Team Serverip:portcollected_from_ip/collected_from_port封禁 / 监控C2 域名config_json.domainsDNS 阻断TLS 证书指纹tls_fingerprint_sha256证书聚类Watermarkwatermark攻击者画像Beacon 哈希sha256样本关联 数据引用规范论文与生产环境怎么写用于研究或发布报告时请带上官方 BibTeX 引用来自 README.mdmisc{hu2026cobaltstrike, title {{Fox-IT Cobalt Strike Beacon Corpus}}, author {Hu, Yun Zheng}, year 2026, publisher {Hugging Face}, organization {Fox-IT}, doi {10.57967/hf/10887}, url {https://huggingface.co/datasets/fox-srt/cobaltstrike-beacon-corpus}, note {Beacons collected from internet-facing Team Servers, July 2018 to September 2026} }小贴士内部情报报告里建议同时注明数据来源为 Fox-IT Cobalt Strike Beacon Corpus观测时间窗 2018-07 至 2026-09让读者能复现与核验。⚖️ 许可使用指南CC BY 4.0 的边界许可需要分两层理解这是很多使用者会踩的坑元数据与解析配置按Creative Commons Attribution 4.0 InternationalCC BY 4.0发布——可自由使用、传播、改编前提是署名保留作者与来源。原始 Beacon 载荷不在该许可覆盖范围内按原样提供、仅限研究用途。也就是说payloads.parquet里的原始样本不能当作 CC BY 4.0 素材来商用或再分发。一句话元数据放心用记得署名原始载荷只做研究。 使用边界与安全注意事项在把语料接入生产前务必注意这些官方提醒覆盖有限只包含匹配指纹且开启了 staging 的 Team Server关闭 staging、藏在 redirector / domain fronting 后的会被低估且以 80/443/53 为主。存在采集缺口因停机可能造成某些月份数据偏低请视为采集缺口而非Cobalt Strike 使用下降。并非全部恶意合法红队也使用 Cobalt Strike。不要仅凭本语料就把某个 IP / 域名 / watermark 判定为恶意。数据会过期IP 与域名会被回收复用。观测只说明采集当天该主机下发了什么不代表它今天仍在服务。安全处置原始 Beacon 是真实恶意 stager可能含可用 C2 地址解包与运行都在隔离环境进行像对待任何恶意样本一样对待。 相关文件索引文件说明README.md数据集说明、Schema、用法与许可本文主要依据data/beacons.parquetIOC 主表一次观测一行data/payloads.parquet原始 Beacon 载荷CaRT 封装beacon_research.ipynb官方示例统计、图表与 IOC 挖掘最后提醒把它当作高质量的 C2 情报原料而不是最终判定依据。结合自己的威胁情报平台做交叉验证才是这套语料最大的价值所在。赞分享数据集网络安全【免费下载链接】cobaltstrike-beacon-corpus项目地址https://ai.gitcode.com/hf_mirrors/fox-srt/cobaltstrike-beacon-corpus点击查看免费下载相关推荐OpenEBS LVM 卷组快照Volume Group Snapshot设计剖析多卷一致性快照的 CSI 实现路径OpenEBS LVM 卷组快照Volume Group Snapshot设计剖析多卷一致性快照的 CSI 实现路径 导读 本文围绕 OpenEBS 的数据集网络安全Cobalt Strike DNS Beacon 趋势研究基于 Beacon Corpus 完整分析 53 端口隐蔽 C2 流量Cobalt Strike DNS Beacon 趋势研究基于 Beacon Corpus 完整分析 53 端口隐蔽 C2 流量 Cobalt Strike数据集网络安全Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南Decepticon Cobalt Strike Beacon 作战手册Teamserver、Malleable C2 与 OPSEC 实战指南 导读 本文档上一篇从克隆到跑通Docker 一键拉起 i茅台自动预约系统 campus-imaotai下一篇终极指南轻量级JS状态管理方案对比 - Zustand与Jotai入门教程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
