C2 (Command-and-control)
攻撃者が侵害した端末を遠隔操作するための基盤と通信路。命令の送信、追加ツールの取得、データの持ち出しに使う。進行中の侵入やボットネットの「頭脳」にあたる。
仕組みはこうだ。侵害されたマシンは一定間隔でC2サーバーに「連絡」(ビーコン)し、指示を受け取る。攻撃者は通信を隠すため、通常のWeb通信に見えるHTTPS、DNSトンネリング、正規のクラウドCDNを介したドメインフロンティング、Slack・Discord・Telegram・GitHubといった身近なサービスの利用などを使い分ける。代表的なフレームワークはCobalt Strike(正規のペンテストツールだが大量に悪用されている)、Mythic、Sliverなど。防御は、規則的でジッターを含む外向き通信というビーコンのパターンの検知、既知のC2ドメインの遮断(脅威インテリジェンス)、暗号化通信の検査、外向き通信の制限(エグレスフィルタリング)による。C2の通信路を見つけて断つことが、侵入阻止の鍵になることが多い。キルチェーンモデルの中核でもある。ビーコニングやデータ持ち出しと関係が深い。