サイバーキルチェーン C2通信フェーズ(Command&Control) | セキュリティの基礎

C2通信フェーズ（Command & Control）の詳細

C2通信フェーズは、インストールされたマルウェアが攻撃者のサーバーと「接続を確立する」段階です。ここまで来ると攻撃者はシステムをリモコンのように遠隔操作できる状態になります。防御側にとっては、最終フェーズである「目的達成」の直前に位置する、最後の食い止めポイントです。

C2通信の構造はシンプルです。感染したシステム（ボット）が攻撃者のC2サーバーに定期的に接続し、指示を受け取って実行します。

感染端末（ボット）
       ↓ ↑
  定期的にチェックイン（ビーコン通信）
       ↓ ↑
   C2サーバー（攻撃者が管理）
       ↑
   攻撃者がコマンドを送信

この「ビーコン通信」は数分〜数時間おきに行われ、まるで「生存確認」のように見えます。通信間隔にランダムなゆらぎを持たせることで、機械的なパターンとして検知されにくくする工夫もされています。

攻撃者が最も気を遣うのは「正規の通信に溶け込むこと」です。そのため、使われるプロトコルも時代とともに巧妙化しています。

1. HTTP/HTTPS通信

最も広く使われる手法です。一般的なWebブラウジングと同じポート（80番・443番）を使うため、ファイアウォールで遮断しにくい特徴があります。HTTPS化により通信内容が暗号化されると、パケット検査での内容確認も困難になります。

2. DNSトンネリング

DNSクエリ（ドメイン名の名前解決）の中にデータを隠して通信する手法です。DNSはほぼすべての環境で許可されている通信であるため、遮断が難しい点が攻撃者に好まれる理由です。

通常のDNSクエリ： example.com のIPアドレスを教えて
DNSトンネリング： a3f8x2cmd.attacker.com のIPアドレスを教えて
↑ここにコマンドやデータが隠されている

3. ソーシャルメディア・クラウドサービスの悪用

TwitterやGitHub、Google Drive、Dropboxなど、正規のクラウドサービスをC2チャネルとして悪用するケースも増えています。これらのサービスへの通信を企業がブロックするのは業務上難しく、かつ通信先が「正規サービス」であるため検知が困難です。

4. P2P（ピアツーピア）型C2

単一のC2サーバーに依存せず、感染端末同士がネットワークを形成してコマンドを伝達します。C2サーバーが一つ落とされても全体が機能し続ける、高い耐障害性を持つ設計です。

5. ドメインフラックス（Fast Flux）

C2サーバーのIPアドレスを数分おきに変え続ける手法です。IPアドレスをブロックリストに登録しても、すぐに別のIPに切り替わるため、ブロックが追いつきません。

C2通信はさらに多層的な隠蔽が施されています。

隠蔽技術	内容
ステガノグラフィー	画像ファイルの中にコマンドを埋め込む
正規ツールの悪用	CobaltStrike等のペネトレーションテストツールをC2に転用
中継サーバー（リダイレクター）	攻撃者の本拠地を隠すための踏み台サーバーを複数経由
ビーコン間隔のランダム化	一定間隔を避け、人間の通常利用パターンに偽装