Komuta ve kontrol (C2)
Bir saldırganın ele geçirilmiş makineleri uzaktan yönetmek, yeni araçlar indirmek ve veri sızdırmak için kullandığı altyapı ve iletişim kanalı. "C2", süren bir saldırının ya da botnet'in beynidir.
Mekanizma: bir makine ele geçirildikten sonra düzenli aralıklarla bir C2 sunucusunu "arar" (beaconing) ve talimatları alır. Saldırganlar trafiği çeşitli yollarla gizler: sıradan web trafiği gibi görünen HTTPS, DNS tünelleme, meşru bulut CDN'leri üzerinden "domain fronting" ya da karışmak için C2 kanalı olarak yaygın hizmetler (Slack, Discord, Telegram, GitHub). Çerçeveler: Cobalt Strike (meşru bir sızma testi aracı, yoğun biçimde kötüye kullanılıyor), Mythic, Sliver. Savunma: beaconing desenlerini (düzenli, jitter'lı giden trafik) tespit etmek, bilinen C2 alan adlarını engellemek (tehdit istihbaratı), şifreli trafiği incelemek ve giden bağlantıları sınırlamak (egress filtreleme). C2 kanalını bulup kesmek çoğu zaman saldırıyı durdurmanın anahtarıdır. Kill chain modelinin merkezindedir. Beaconing ve veri sızdırma ile ilişkilidir.