網路攻擊與防禦實務
檢查公司內部網路的通訊紀錄，發現了下列通訊。最有可能是惡意程式在與外部命令伺服器（C2伺服器）通訊的是下列何者？
- A在上班時間，許多員工的電腦連線到公司內的檔案伺服器，讀寫共用檔案
- B在每月固定的日子，許多電腦從作業系統開發商的官方更新伺服器接收大型的更新檔案
- C只有一台電腦在夜間與假日也每隔約60秒，向陌生的新網域反覆傳送少量的通訊
查看答案與解析
正確答案：C. 只有一台電腦在夜間與假日也每隔約60秒，向陌生的新網域反覆傳送少量的通訊
惡意程式會從受感染的端點定期連線到外部的C2（Command and Control）伺服器，接收指令或回傳結果。這種定期連線稱為信標（beacon），特徵是與人的操作無關，以幾乎固定的間隔持續傳送少量通訊。連線目標是剛註冊不久的網域，或沒有信譽資訊的網域，也是提高嫌疑的線索。不過攻擊者會在間隔中加入抖動（jitter），或利用正規的雲端服務中繼來逃避偵測，因此要把通訊紀錄與EDR收集的端點資訊結合起來調查。
- A. 上班時間連線到公司內的檔案伺服器，是平常業務的通訊。
- B. 許多電腦在固定的日子從官方更新伺服器接收檔案，是一般的作業系統更新。
- C. 正確。與人的操作無關、約每60秒一次的固定間隔通訊，以及陌生的新網域，是C2通訊的典型線索。