Перейти к содержимому
ITDПлатформа веб-безопасности
ITD
Поиск

Глоссарий

#C2#реагирование на инциденты#threat intelligence#обнаружение

Что такое C2 (command and control): канал, через который злоумышленники управляют устройством после взлома

C2 (Command and Control) — канал, через который взломанное устройство связывается с сервером атакующего. Как его выдаёт beaconing и как защититься.

Опубликовано 2026-06-11 Обновлено 2026-10-06 6 мин чтения
На этой странице

C2 — это трафик, с помощью которого злоумышленник продолжает управлять устройством после взлома. Разберём, как он работает и как его обнаружить и остановить (без инструментов и деталей проведения атак).

Где он находится в цепочке атаки

C2 — это не сам взлом, он идёт после него.

1) Взлом (например, RCE, фишинг, вредоносное ПО)
↓
2) Устройство «звонит обратно» на сервер злоумышленника (beacon = периодический пульс)
↓
3) Получение команд / вывод данных (удалённое управление)
После взлома устройство звонит обратно на сервер злоумышленника (C2). Это и есть шанс обнаружить и оборвать связь.

Важный момент: исходящий трафик на шаге (2) — это шанс обнаружить и оборвать. Предотвратить взлом на 100% сложно, но есть возможность заметить и остановить его на этапе исходящего трафика.

C2, бэкдор и ботнет

Эти термины часто путают. Если разделить их по роли, получится так.

ТерминЧто означаетСвязь с C2
C2 (C&C)Канал удалённого управления между злоумышленником и скомпрометированным устройством, а также сервер, отправляющий команды—
БэкдорОставленная на устройстве точка входа в обход обычной аутентификацииЧасто связывается с C2, чтобы получать команды
БотнетБольшая группа захваченных устройств, которые одновременно получают команды от одного C2C2 управляет множеством устройств из одной точки
RCEУязвимость, позволяющая удалённо выполнить произвольный кодОдин из способов взлома, который предшествует C2
BeaconКороткое сообщение, которое устройство через равные промежутки отправляет на C2Признак того, что C2 всё ещё активен

Почему он смешивается с обычным трафиком

MITRE ATT&CK, каталог техник злоумышленников, выделяет C2 в отдельный этап (TA0011): противник пытается связаться со скомпрометированными системами, чтобы управлять ими. Типичная техника из этого каталога — использование повседневных протоколов, например веб- и DNS-трафика, чтобы смешаться с существующим трафиком и избежать обнаружения и фильтрации.

Поэтому блокировки отдельных номеров портов недостаточно. В качестве мер ATT&CK называет фильтрацию сетевого трафика и сетевое предотвращение вторжений. На практике работают две идеи:

  • Ограничивать по адресу: определить белым списком, к каким адресам может обращаться сервер, и блокировать остальной исходящий трафик
  • Замечать по форме: смотреть не на содержимое, а на адрес, интервал, объём и то, какая программа устанавливает связь

Как его обнаружить (подсказки)

ПодсказкаНа что смотреть
Beaconing (периодический трафик)Регулярный исходящий трафик на один и тот же адрес через равные промежутки
Незнакомые адресаПодозрительные домены/IP (сопоставление с известными вредоносными = IOC)
Странный DNSЗапросы к незнакомым доменам; аномально много DNS
Неожиданные путиИсходящий трафик по неожиданным портам/протоколам

Как защищаться

1

Не дать себя взломать в принципе (основы)

Обновления (мониторинг CVE), минимум привилегий, MFA, никаких секретов в открытом виде. C2 — это стадия «после взлома», поэтому чем лучше вы предотвращаете взломы, тем реже дело доходит до C2.
2

Ограничить исходящий трафик (egress)

Ограничьте исходящий трафик серверов и устройств только нужными адресами/портами (фильтрация исходящего трафика). Даже при взломе C2 буксует, когда устройство не может позвонить наружу.
3

Мониторить DNS и журналы трафика

Достигните состояния, в котором вы способны замечать подозрительный периодический трафик, незнакомые адреса и аномальный DNS (→ IOA = замечать по поведению).
4

Сопоставлять и блокировать известные вредоносные адреса

Сверяйте известные адреса C2 (IOC) из threat-фидов с вашими журналами трафика и межсетевым экраном и блокируйте.

Реальный пример: когда подсказкой был исходящий трафик

При компрометации Codecov (2021), разобранной на этом сайте, был подменён распространяемый скрипт, выполнявшийся в CI, и, по сообщениям, около двух месяцев секреты из CI-сред клиентов отправлялись на внешний сервер. Поскольку подменённый код не принадлежал самим клиентам, проверка их собственного кода этого бы не выявила.

Подсказка, которую можно проверить задним числом, — исходящий трафик из CI к незнакомому адресу. Если бы исходящий трафик CI был ограничен нужными адресами, а всё остальное записывалось в журнал, была бы возможность заблокировать отправку или заметить её раньше. Будь то C2 или кража данных, атака после взлома должна связаться с внешним миром, чтобы достичь цели.

Как проверить в своей среде

  1. Выведите текущие исходящие соединения: в Windows Get-NetTCPConnection -State Established показывает каждый адрес и его OwningProcess (ID программы, которая устанавливает связь), а Get-Process -Id <ID> выдаёт имя программы. В Linux то же делает ss -tunp
  2. Проверьте правила исходящего трафика в облаке: например, группа безопасности AWS по умолчанию разрешает весь исходящий трафик. Запишите, к чему серверу действительно нужно обращаться (обновления ОС, API платежей или почты и т. д.), и ограничьте остальное
  3. Проверьте историю DNS-запросов: в журналах роутера или DNS-сервиса ищите запросы к незнакомым доменам, повторяющиеся через равные промежутки
  4. Посчитайте по адресам: агрегируйте журналы прокси или межсетевого экрана по адресам и ищите небольшие объёмы трафика с одинаковым интервалом в течение всего дня. Найдя такой, проверьте, кому принадлежит адрес, чтобы понять, легитимная ли это проверка обновлений
  5. Сверьте с опубликованными адресами: ищите в журналах адреса C2 (IOC), опубликованные государственными органами или вендорами

Мнение этого сайта: защищайте и исходящий трафик, а подтверждение «нет C2» — часть расследования

Главный урок, который несёт концепция C2, — что защита — это не только предотвращение взлома. Даже когда идеальная профилактика недостижима, есть возможность ограничить исходящий трафик и заметить подозрительные обратные подключения. На этом сайте мы держим главной целью «проектирование, которое не дают взломать (обновления, минимум привилегий, MFA)», но при этом сохраняем контроль исходящего трафика и мониторинг трафика как последний уровень защиты. Заметьте: при подозрении на взлом подтверждение того, что нет резидентного C2 (бэкдора или скрытого периодического трафика), — ключевой шаг. Чтобы заключить «воздействие было ограничено», нельзя пропустить проверку исходящего трафика.

Источники (первичные)

  • MITRE ATT&CK, «Command and Control (TA0011)» — attack.mitre.org (определение этапа C2)
  • MITRE ATT&CK, «Application Layer Protocol (T1071)» — attack.mitre.org (смешивание с существующим трафиком и меры вроде фильтрации трафика)
  • AWS, «Default security groups for your VPCs» — docs.aws.amazon.com (правила исходящего трафика по умолчанию)
  • Источники по Codecov приведены в статье о случае

Читать дальше

Классификация

CWE классифицирует типы слабостей, из-за которых возникают уязвимости; MITRE ATT&CK классифицирует техники атакующих. Обе системы ведёт MITRE, и они широко используются для разметки уязвимостей и правил обнаружения.

ATT&CK (техника атаки)

© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. MITRE ATT&CK and ATT&CK are registered trademarks of The MITRE Corporation. The MITRE Corporation (MITRE) hereby grants you a non-exclusive, royalty-free license to use ATT&CK® for research, development, and commercial purposes. Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ATT&CK Terms of Use

FAQ

QЧто такое C2 (command and control)?
A

Это канал удалённого управления, через который скомпрометированное устройство (ПК/сервер, заражённый вредоносным ПО или захваченный через уязвимость) «звонит обратно» на сервер злоумышленника — чтобы получать команды и отправлять украденные данные. В цепочке атаки это стадия после успешного взлома (например, RCE), нужная для дальнейшего управления устройством.

QКак обнаружить C2?
A

Главный признак — исходящий трафик. Заражённое устройство часто шлёт периодический «пульс» (beacon) на сервер злоумышленника через равные промежутки. Регулярный периодический трафик на необычный адрес, DNS-запросы к незнакомым доменам и исходящий трафик по неожиданным портам/протоколам — это подсказки. Их можно ловить по следам (IOC) или по поведению (IOA).

QКаковы основы защиты от C2?
A

(1) Не дать себя взломать в принципе (обновления, минимум привилегий, MFA); (2) ограничить исходящий трафик («фильтрация исходящего трафика»); (3) мониторить DNS и журналы трафика, чтобы замечать подозрительный периодический трафик или адреса; (4) сопоставлять известные вредоносные адреса C2 (IOC) из threat-фидов и блокировать их. Ключевая идея: атаку можно остановить не только в момент проникновения, но и на этапе исходящего трафика.

QЧем C2 отличается от C&C?
A

Это одно и то же. C&C (Command and Control) — более старое сокращение; сегодня чаще пишут C2. «Сервер C&C» и «сервер C2» — это сервер на стороне злоумышленника, который отправляет команды скомпрометированным устройствам.

QЧто такое beacon C2?
A

Короткое сообщение, которое скомпрометированное устройство через равные промежутки отправляет на сервер C2, чтобы сообщить, что оно ещё работает, и проверить наличие новых команд. Его признак — небольшие объёмы трафика к одному и тому же адресу по регулярному расписанию, поэтому его можно выявить, отсортировав журналы трафика по адресам. Легитимный трафик, например проверка обновлений ПО, выглядит так же, поэтому прежде чем делать вывод, выясните, что это за адрес.

QМожно ли обнаружить трафик C2, зашифрованный HTTPS?
A

Даже не видя содержимого, остаются подсказки: какой адрес, с каким интервалом, сколько данных и какая программа на устройстве их отправляет. Незнакомые домены, регулярные интервалы и сетевой трафик от программ, которым сеть не нужна, видны и при шифровании. А если исходящий трафик ограничен нужными адресами, он будет остановлен независимо от шифрования.