您的防病毒软件无法捕捉到它
现代恶意软件极少自我暴露。它静默安装,然后通过短小、规律、加密的消息向操作者通信 — 这就是 信标。一旦确认存在活跃的命令通道,攻击者便会进一步行动:横向移动、数据外泄、部署勒索软件。
传统防御依赖文件与签名匹配。信标看上去并不像恶意软件 — 它们看起来像后台流量,而这正是它们的设计意图。
基于行为的网络监控
Beacon Butty 部署在您的局域网与互联网之间,跟踪并对每条连接评分 — 不会阻断或延迟任何数据包。对网络性能零影响。
它不依赖已知恶意签名匹配,而是衡量 行为:连接的规律性、负载大小的一致性、目的地特征的异常程度。这些统计模式即便在加密与混淆下依然有效。
Beacon Butty 内部一览
覆盖每一层的实时可见性 — 从运营与带宽仪表盘,到各检测器深度视图。点击任意截图即可查看详情。
六层检测流水线
业内一流的开源组件,集成于单一设备之中。
Zeek 在内部接口被动监控全部局域网流量,对吞吐量零影响。每条 TCP/UDP 连接均记录完整元数据:时间戳、字节数、连接状态、持续时间与 TLS 握手详情。
每小时,RITA 导入 Zeek 连接数据,按源/目的地组合开展统计分析,从四个维度评分:连接周期性、到达间隔抖动、字节大小一致性与连接持续时间。持续频闪与威胁情报命中单独呈现。
Suricata 同时运行,匹配数千条社区与 Emerging Threats 签名。STREAM 与 QUIC 噪声自动过滤。告警通过 MAC 与 IP 与资产清单关联。
在 NVMe SSD 上的列式时序数据库存储信标评分、连接记录、IDS 告警与主机指标。跨数周数据的查询延迟在毫秒以内;实时日志先写入 RAM 层以延长 SSD 寿命。
基于 Flask 的 Web 应用,通过 HTTPS 提供各检测层的实时可见性。十个专用页面覆盖信标、IDS、资产、情报、健康、备份与硬件遥测。
每日 07:00 摘要汇总信标得分最高的主机。实时告警经 AWS Lambda 推送至 Slack,可按类型启用/停用,并按告警设置抑制窗口。仪表盘支持任一告警的测试触发。
Beacon Butty 能识别什么
八类威胁,全天候检测 — 全年 365 天,每天 24 小时。
自监控的设备
检测的前提是设备本身健康。Beacon Butty 在监控您网络的同时,也以同等严谨监控自身。
分级、智能的告警
每种告警类型均可独立启用、停用或设置抑制窗口 — 由您决定何种事件值得叫醒您。
- 高分信标(满分 1.0)
- 持续单点连接流量
- 威胁情报目的地命中
- Tor 出口节点访问
- Suricata P1 局域网侧规则
- Suricata P1 重复命中
- 服务下线(Zeek / ClickHouse / Suricata)
- 磁盘 > 90% 已用
- 局域网新增设备
- 局域网信标得分最高的主机
- Suricata P2 / P3 告警汇总
- 过去 24 小时新出现的设备
- DNS 高查询量主机
- TLS 与 DNS 异常摘要
- 误报抑制流量回顾
- 健康与容量概览
为小型企业与家庭网络打造
Beacon Butty 面向那些重要但没有专职安全运营团队的网络 — 小型企业、专业人士的家庭办公,以及任何处理敏感数据、并希望了解是否有内部资产正在悄悄"连接外部"的用户。
它是软硬件一体化解决方案。设备需要物理放置于您的网络中,并按您的具体环境进行配置 — 这并非可下载自行安装的软件。
企业级威胁检测能力,以适合非企业预算的体量与价格交付。
运作方式
- 1 梳理您的网络一次简短的探讨电话,用于了解您的环境 — 设备数量、互联网接入方式以及安装的物理可达性。
- 2 现场安装Mustard Research 顾问亲临现场完成设备的安装与配置。Beacon Butty 必须置于路由器与局域网之间 — 不能远程完成。
- 3 开始监控设备上线即开始工作。告警直达您的 Slack 频道,每日摘要每天清晨送达。
- 4 持续支持我们负责规则更新与健康监控,并在告警需要专家解读时随时支持。可选 Tailscale 加密远程访问。