サイバー攻撃と防御の実務
社内のネットワークの通信の記録を調べたところ、次のような通信が見つかった。マルウェアが外部の指令サーバ(C2サーバ)と通信している疑いが最も強いものはどれか。
- A業務時間中に、多くの社員のPCが社内のファイルサーバに接続して、共有のファイルを読み書きしている
- B毎月決まった日に、多くのPCがOSの開発元の公式の更新サーバから、大きな更新のファイルを受け取っている
- C1台のPCだけが、夜間も休日も約60秒ごとに、見慣れない新しいドメインへ小さな通信を繰り返している
答えと解説を見る
正解：C. 1台のPCだけが、夜間も休日も約60秒ごとに、見慣れない新しいドメインへ小さな通信を繰り返している
マルウェアは、感染した端末から外部のC2(Command and Control)サーバに定期的に接続し、指令を受け取ったり結果を送ったりします。この定期的な接続はビーコンと呼ばれ、人の操作と関係なく、ほぼ一定の間隔で小さな通信が続くことが特徴です。接続先が登録されて間もないドメインや、評判の情報がないドメインであることも、疑いを強める手掛かりになります。ただし、攻撃者は間隔にゆらぎ(ジッター)を加えたり、正規のクラウドサービスを中継に使ったりして検知を逃れようとするので、通信の記録と、EDRで集めた端末の情報を組み合わせて調べます。
- A. 業務時間中の社内のファイルサーバへの接続は、ふだんの業務の通信です。
- B. 決まった日に多くのPCが公式の更新サーバから受け取るのは、通常のOSの更新です。
- C. 正しい。人の操作と関係のない約60秒ごとの一定の間隔の通信と、見慣れない新しいドメインが、C2の通信の典型的な手掛かりです。