標的型攻撃における「C2（Command and Control）通信」の隠蔽手法

背景と概要

企業や組織の内部ネットワークへ侵入したマルウェアは、勝手に自律動作するだけでなく、攻撃者が遠隔から指示を送ったり流出データを回収したりするための通信経路（チャネル）を確立します。この攻撃者の指示サーバーを「C2（Command and Control）サーバー」と呼び、その間で行われる通信を「C2通信」と呼びます。

近年の高度標的型攻撃（APT）では、セキュリティ機器の監視の目を潜り抜けるため、C2通信を通常の業務通信に巧妙に偽装・隠蔽する手口が高度化しています。

進化するC2通信の隠蔽テクノロジー

攻撃者は、組織のプロキシやファイアウォールでブロックされない一般的な通信プロトコルを悪用します。

1. 正規SaaS・クラウドサービスのC2インフラ化（Bring Your Own SaaS）

攻撃者は独自のサーバーを用意する代わりに、GitHub、Slack、Notion、Google Drive、Telegramなどの正規APIを利用して指示の送受信を行います。企業側は業務でこれらのサービスを使っているため、通信自体を遮断することができません。

2. ドメインフロンティング（Domain Fronting）

大手CDN（Content Delivery Network）の仕様を悪用し、TLS暗号化通信のSNIヘッダーには信頼されたドメイン名（例: `trusted.com`）を表示させつつ、実際に接続するバックエンドを攻撃者のサーバーへ誘導する技術です。

3. DGA（Domain Generation Algorithm）とコバルトストライク

「Cobalt Strike」などの侵入テスト用ツールを悪用し、日付等をトリガーとして毎日数百の乱数ドメインを自動生成して接続を試みることで、単一のIP/ドメインブロックを無効化します。

C2通信の確立がもたらす致命的リスク

C2通信が一度確立すると、攻撃者は社内ネットワークを「自分のPC操作と同等」に遠隔操作できるようになります。追加マルウェアのダウンロード、内部ログの消去、ランサムウェアを一斉実行するスクリプトの全端末配信などが自由に行われます。

C2通信の検知と遮断に向けたアプローチ

単純なドメインブロックを超えた、通信の「振る舞い解析」が求められます。

1. ビーコニング（Beaconing）通信の機械学習検知

C2通信特有の「一定周期またはランダムな間隔で発生する微小な外部通信（ビーコン）」を、プロキシやSIEMの通信ログから統計解析・機械学習によって検出します。

2. SSL/TLS通信の復号検査（SSLインスペクション）

暗号化されたWeb通信（HTTPS）の中に隠された不審なヘッダーやデータパターンを検知するため、プロキシ上で安全に通信を一度復号してコンテンツ検査を行う運用を検討します。

3. EASM（External Attack Surface Management）と脅威インテリジェンスの連携

最新のC2サーバーのIPアドレスや悪用されているドメイン情報を脅威インテリジェンスフィード（CTI）からリアルタイムに取得し、境界機器へ動的に反映させて即時遮断します。