跳至主要內容
ITD網站資安平台
ITD
搜尋

名詞解釋

#C2#事件回應#威脅情資#偵測

C2（命令與控制）是什麼：入侵後攻擊者用來遠端操控終端的通訊

C2（Command and Control／C&C）是被入侵的終端回連攻擊者伺服器、接收命令與外傳資料的遠端操控通道。從防禦視角說明偵測關鍵（定期信標、已知惡意目的地）與出口控制、DNS 監控等防禦。

發布於 2026-06-11 更新於 2026-10-06 閱讀時間 2 分鐘
本頁內容

C2 是攻擊者在入侵後用來持續操控終端的通訊。本文講解它的原理，以及察覺與防範的方法（不涉及攻擊的製作方法與運用方式）。

在攻擊流程中的位置

C2 不是「入侵本身」，而是在其之後到來的。

① 入侵（例如：RCE·釣魚·惡意軟體）
↓
② 終端向攻擊者伺服器「回呼」（信標＝定期的存活確認）
↓
③ 接收命令·外傳資料（遠端操控）
入侵之後，終端會回連攻擊者伺服器（C2）。那裡正是偵測與阻斷的機會。

這裡重要的是，②的外向通訊正是偵測與阻斷的機會。即便要 100% 防住入侵很難，也仍有在外向通訊的階段察覺並攔下的餘地。

C2、後門與殭屍網路的區別

這些用語容易混在一起。依角色區分如下。

用語意思與 C2 的關係
C2（C&C）攻擊者與被入侵終端之間的遠端操控通道，以及下達命令的伺服器—
後門留在終端上、可以繞過正常認證的入口常會與 C2 通訊以接收命令
殭屍網路（Botnet）一大群被劫持、同時接收同一個 C2 命令的終端C2 從一處操控大量終端
RCE能從遠端執行任意程式碼的漏洞取得 C2 之前那次入侵的手段之一
信標（Beacon）終端以固定間隔傳給 C2 的簡短訊息C2 仍在運作的跡象

為什麼它會混進正常的通訊裡

整理攻擊者手法的 MITRE ATT&CK，把 C2 列為獨立的階段（TA0011）：攻擊者試圖與被入侵的系統通訊以操控它們。其中列出的典型手法，是利用 Web、DNS 等日常的通訊協定，混入既有的流量，以避開偵測與過濾。

所以光是封鎖特定的連接埠號碼並不夠。ATT&CK 列出的緩解措施是網路流量過濾與網路入侵防禦。實務上有兩個思路有效：

  • 依目的地限制：用允許清單決定伺服器可以連往哪些目的地，其他的外向通訊一律封鎖
  • 依形態察覺：不看內容，而看目的地、間隔、資料量，以及是哪個程式在通訊

如何察覺（偵測的線索）

線索看什麼
信標（定期通訊）以固定間隔發往同一目的地的規律性外向通訊
陌生的目的地可疑的網域/IP（與已知惡意目的地＝IOC 比對）
可疑的 DNS向陌生網域的查詢·異常增多的 DNS
意料之外的路徑在意料之外的連接埠/通訊協定上的外向通訊

如何防禦

1

從源頭上不讓其入侵（基本對策）

打修補程式（CVE 監控）·最小權限·MFA·不要把機密以明文形式存放。C2 處於「入侵之後」的階段，因此越能防止入侵，C2 發揮作用的機會就越少。
2

限制外向通訊（egress）

把伺服器或終端的外向通訊限制為只允許必要的目的地與連接埠（egress 過濾）。即便被入侵，只要無法向外回連通訊，C2 也就難以成立。
3

監控 DNS 與通訊紀錄

讓自己處於能夠察覺可疑定期通訊·陌生目的地·異常 DNS 的狀態（→ IOA＝靠行為察覺）。
4

比對並攔截已知的惡意目的地

把威脅情資散布的已知 C2 目的地（IOC）與自己的通訊紀錄和防火牆加以比對並攔截。

實際案例：外向通訊成為線索的時候

在本站報導的 Codecov 遭入侵事件（2021）中，在 CI 中執行的發布腳本遭到竄改，據報約有兩個月的時間，機密從客戶的 CI 環境被傳送到外部伺服器。由於被竄改的程式碼不是客戶自己的，即使審查自家程式碼也發現不了。

事後可以檢查的線索，是從 CI 連往陌生目的地的外向通訊。如果 CI 的外向通訊只限於必要的目的地、其他的都留下紀錄，就有機會封鎖這次傳送，或更早察覺。不論是 C2 還是資料竊取，入侵後的攻擊都必須與外部通訊才能達成目的。

如何在自己的環境中檢查

  1. 列出目前的外向連線：在 Windows 上，Get-NetTCPConnection -State Established 會顯示每個目的地及其 OwningProcess（正在通訊的程式 ID），再用 Get-Process -Id <ID> 取得程式名稱。在 Linux 上，ss -tunp 可以做到同樣的事
  2. 檢視雲端的外向規則：例如 AWS 的預設安全群組允許所有外向通訊。寫下你的伺服器真正需要連往的目的地（OS 更新、金流或郵件 API 等），並限制其餘的通訊
  3. 檢查 DNS 查詢紀錄：在路由器或 DNS 服務的紀錄中，找出以固定間隔重複查詢的陌生網域
  4. 依目的地彙總：把 Proxy 或防火牆的紀錄依目的地彙總，找出整天以相同間隔發出少量通訊的目的地。找到之後，確認該目的地的擁有者，判斷是否為正常的更新檢查
  5. 與公開的目的地比對：在你的紀錄中搜尋主管機關或廠商公布的 C2 目的地（IOC）

本站的視角：外向通訊也要保護，確認 C2「不存在」也是調查的一部分

C2 這一思路帶來的最大啟示是：防守不只是防止入侵。即便完全防止入侵很難，也仍留有限制外向通訊、察覺可疑回呼的餘地。本站在把「讓其無法入侵的設計（打修補程式·最小權限·MFA）」作為首選的同時，建議把出口控制與通訊監控作為最後一層防禦一併具備。此外，在懷疑發生入侵時的調查中，確認不存在常駐的 C2（後門或非法的定期通訊）也是重要的一環。要得出「實際危害有限」的結論，對外向通訊的確認不可或缺。

出處（一手資料）

  • MITRE ATT&CK「Command and Control (TA0011)」— attack.mitre.org（C2 階段的定義）
  • MITRE ATT&CK「Application Layer Protocol (T1071)」— attack.mitre.org（混入既有流量，以及流量過濾等緩解措施）
  • AWS「Default security groups for your VPCs」— docs.aws.amazon.com（預設的外向規則）
  • Codecov 的出處列在案例文章中

接下來閱讀

分類編號

CWE 對造成漏洞的弱點類型進行分類，MITRE ATT&CK 對攻擊者的技術進行分類。兩者皆由 MITRE 維護，廣泛用於標註漏洞資訊與偵測規則。

ATT&CK（攻擊技術）

© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. MITRE ATT&CK and ATT&CK are registered trademarks of The MITRE Corporation. The MITRE Corporation (MITRE) hereby grants you a non-exclusive, royalty-free license to use ATT&CK® for research, development, and commercial purposes. Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ATT&CK Terms of Use

FAQ

QC2（命令與控制）是什麼？
A

它是被入侵的終端（感染了惡意軟體、或被漏洞攻陷的 PC 或伺服器）「回連」攻擊者準備好的伺服器，從那裡接收命令、或把竊取的資料外傳出去的遠端操控通道。放到攻擊的流程裡看，它處於入侵（例如 RCE）成功「之後」、攻擊者用來持續操控終端的環節。

Q如何察覺 C2？
A

主要線索是「外向的通訊」。被感染的終端常常會以固定的間隔向攻擊者伺服器傳送「存活確認」通訊（信標）。與平常不同的、向某個目的地發出的規律性定期通訊，向陌生網域發起的 DNS 查詢，以及意料之外的連接埠/通訊協定上的外向通訊等，都是線索。這些既可以用痕跡（IOC）捕捉，也可以用行為（IOA）捕捉。

Q防禦 C2 的基本做法是什麼？
A

①從源頭上不讓其入侵（打修補程式·最小權限·MFA），②限制外向通訊（「egress 過濾」），③監控 DNS 與通訊紀錄，以察覺可疑的定期通訊或目的地，④比對威脅情資提供的已知 C2 目的地（IOC）並加以攔截，這些就是基本做法。重要的思路是：攻擊不僅能在入侵的時點攔下，也能在外向通訊的階段攔下。

QC2 和 C&C 有什麼不同？
A

意思相同。C&C（Command and Control）是較舊的縮寫，現在比較常用 C2。「C&C 伺服器」和「C2 伺服器」都是指向被入侵終端下達命令的攻擊者端伺服器。

QC2 信標（beacon）是什麼？
A

被入侵的終端以固定間隔傳給 C2 伺服器的簡短訊息，用來回報自己仍在運作，並確認有沒有新的命令。它的特徵是以固定節奏向同一個目的地發出少量通訊，因此把通訊紀錄依目的地排序，就可能找出來。軟體更新檢查等正常通訊看起來也一樣，所以請先確認目的地是什麼再下判斷。

Q用 HTTPS 加密的 C2 通訊也能偵測到嗎？
A

即使看不到內容，線索仍在：連往哪個目的地、間隔多久、資料量多少，以及終端上是哪個程式在傳送。陌生的網域、固定的間隔，以及不該使用網路的程式在通訊，即使經過加密也都看得到。而且只要把外向通訊限制在必要的目的地，不論是否加密，通訊都會被擋下。