侵入された後、攻撃者が端末を遠隔で操るために使う通信がC2です。仕組みと、気づき方・防ぎ方を解説します（攻撃の作り方・運用方法は扱いません）。
攻撃の流れの中での位置
C2は「侵入そのもの」ではなく、その後に来ます。
ここで重要なのは、②の外向き通信が検知・遮断のチャンスだということ。侵入を100%防ぐのは難しくても、外向き通信の段階で気づいて止める余地があります。
C2・バックドア・ボットネットの違い
混同されやすい用語を、役割で分けると次のようになります。
| 用語 | 何を指すか | C2との関係 |
|---|---|---|
| C2（C&C） | 攻撃者と侵入された端末をつなぐ遠隔操作の通信と、命令を出すサーバー | ― |
| バックドア | 正規の認証を通らずに入れるよう、端末に残された入口 | C2と通信して命令を受けるものが多い |
| ボットネット | 同じC2から一斉に命令を受ける、多数の乗っ取られた端末の集まり | C2が1か所から多数を操る |
| RCE | 外部から任意のコードを実行できてしまう脆弱性 | C2の前の「侵入」の手段の1つ |
| ビーコン | 端末からC2へ一定間隔で送られる短い通信 | C2が続いていることを示す兆候 |
なぜ普通の通信に紛れるのか
攻撃者の手口を整理した MITRE ATT&CK は、C2を「侵入したシステムと通信して操ろうとする段階」として独立した段階（TA0011）に置いています。そこで挙げられている代表的な技術が、Webや DNS といった普段から使われる通信の形式を使い、既存の通信に紛れて検知やフィルタを避けるものです。
そのため、特定のポート番号を塞ぐだけでは足りません。ATT&CKが対策として挙げるのも、ネットワーク通信のフィルタリングと侵入防止の仕組みです。実際には次の2つの考え方が効きます。
- 宛先で絞る：サーバーが通信してよい宛先を許可リストで決め、それ以外への外向き通信を止める
- 形で気づく：中身ではなく、宛先・間隔・量・どのプログラムが通信しているかを見る
どう気づくか（検知の手がかり）
| 手がかり | 何を見るか |
|---|---|
| ビーコン（定期通信） | 一定間隔で同じ宛先へ送られる規則的な外向き通信 |
| 見慣れない宛先 | 不審なドメイン/IP（既知の悪い宛先＝IOCと照合） |
| 怪しいDNS | 見慣れないドメインへの問い合わせ・異常に多いDNS |
| 想定外の経路 | 想定しないポート/プロトコルでの外向き通信 |
どう防ぐか
そもそも侵入させない（基本）
外向き通信（egress）を絞る
DNSと通信ログを監視する
既知の悪い宛先を照合・遮断
具体例：外向き通信が手がかりになった事例
当サイトで扱った Codecov の改ざん事件（2021年）では、CIで実行される配布スクリプトが改ざんされ、約2か月にわたり利用企業のCI環境から秘密情報が外部へ送られていたと公表されています。改ざんされたのは自社のコードではないため、コードの点検では気づけませんでした。
この事例で後から確かめられる手がかりは、CIから見知らぬ宛先への外向き通信です。CIの外向き通信を必要な宛先だけに絞り、それ以外を記録していれば、送信そのものを止めるか、早く気づく余地がありました。C2でも情報の持ち出しでも、侵入後の攻撃は外と通信しないと目的を果たせない、という点は同じです。
自分の環境で確認する方法
- 今つながっている外向き接続を見る：Windowsは
Get-NetTCPConnection -State Establishedで接続先とOwningProcess（通信しているプログラムの番号）を確かめ、Get-Process -Id 番号で名前を調べる。Linuxはss -tunpで同じことができる - クラウドの外向きルールを見る：たとえばAWSの既定のセキュリティグループは、外向きの通信をすべて許可する設定になっている。サーバーが本当に必要な宛先（OSの更新、決済やメールのAPIなど）を書き出し、それ以外を絞る
- DNSの問い合わせ履歴を見る：ルーターやDNSサービスのログで、見慣れないドメインへの問い合わせが一定間隔で繰り返されていないかを確かめる
- 宛先ごとに数える：プロキシやファイアウォールのログを宛先ごとに集計し、少量の通信が一日中同じ間隔で続く宛先を探す。見つけたら、正規の更新確認かどうかを宛先の持ち主で判断する
- 公表された宛先と照合する：当局や開発元が公表したC2の宛先（IOC）が、自分のログに出ていないかを検索する
当サイトの視点：侵入対策に加えて外向き通信も守る。C2が無いことの確認も調査の一部
C2の発想がもたらす一番の学びは、守る場面は侵入の段階だけではないということです。完全な侵入防止は難しくても、外向き通信を絞り、不審なコールバックに気づく余地は残ります。当サイトは「侵入させない設計（パッチ・最小権限・MFA）」を中心に置きつつ、外向き通信の制御と通信監視を追加の防御として併せ持つことを勧めます。なお、侵害が疑われたときの調査では、常駐するC2（バックドアや不正な定期通信）が無いことを確認するのも重要な工程です。「実害は限定的だった」と結論づけるには、外向き通信の確認が欠かせません。
出典（一次情報）
- MITRE ATT&CK「Command and Control（TA0011）」 — attack.mitre.org（C2の段階の定義）
- MITRE ATT&CK「Application Layer Protocol（T1071）」 — attack.mitre.org（既存の通信に紛れる技術と、通信のフィルタリング等の対策）
- AWS「Default security groups for your VPCs」 — docs.aws.amazon.com（既定の外向きルール）
- Codecovの出典は、事例の解説記事に掲載しています
次に読む
- 事例：Codecov 改ざん事件（2021年） / Capital One 情報漏えい事件（2019年）
- 用語：EDRとは / バックドアとは（C2と通信して居座るための仕組み） / RCEとは / IOC（侵害指標）とは / IOA（攻撃指標）とは / ランサムウェアとは / マルウェアとは