C&Cサーバ
マルウェアに感染した端末（ボット）に対して、攻撃者が指令を送ったり、盗んだ情報を受け取ったりするために使うサーバ。Command and Control（指令と制御）サーバの略。
イマシルちゃんの解説
マルウェアに感染したパソコンは、こっそり「ご主人さま、次は何をすればいいですか？」って、攻撃者のサーバに問い合わせるんだ。
このサーバがC&Cサーバだよ。
攻撃者は、ここから「このサイトを攻撃しろ」「このファイルを盗んで送れ」って命令を出すんだ。
だから、C&Cサーバとの通信を見つけて止めることが、被害を広げないための大事なポイントなんだよ！
より深い解説
定義
C&Cサーバ（Command and Control server、C2サーバ）は、攻撃者が、感染した多数の端末（ボット）を遠隔操作するために使う指令サーバである。ボットとC&Cサーバの集まりを、ボットネットという。
通信の特徴
| 特徴 | 内容 |
|---|---|
| 内部から外部への接続 | ボットのほうからC&Cサーバに接続する。ファイアウォールは内部から外部への通信を許可していることが多いため、通り抜けやすい |
| 一般的な通信に紛れる | HTTPSやDNSなど、普段使われるプロトコルを使って、正常な通信に見せかける |
| 定期的な通信（ビーコン） | 決まった間隔で、指令がないかを問い合わせる |
| 接続先の変化 | ドメイン名を次々に変える（DGA）、多数のIPアドレスを切り替える（ファストフラックス）などで、遮断を逃れる |
検出と対策
| 対策 | 内容 |
|---|---|
| 通信先の遮断 | 既知のC&Cサーバのドメイン名やIPアドレスを、プロキシやファイアウォール、DNSで遮断する（脅威インテリジェンスの活用） |
| プロキシによる出口の制限 | 外部へのWebの通信をプロキシ経由に限り、利用者認証を必須にする。認証できないマルウェアの通信を止められる |
| 通信の監視 | 決まった間隔の通信や、珍しいドメイン名への接続などを検知する |
| サンドボックス | 疑わしいファイルを隔離環境で動かし、C&Cサーバへの通信を観察して、マルウェアと判断する。観察された接続先は、遮断のリストに加える |
| DNSの監視 | 異常な名前解決（大量の存在しないドメイン名の問い合わせなど）を検知する |
攻撃の流れの中での位置
| 段階 | 内容 |
|---|---|
| 侵入 | 標的型メールなどで、マルウェアに感染させる |
| C&Cサーバとの通信の確立 | 感染した端末が、C&Cサーバに接続し、遠隔操作できる状態になる |
| 内部での活動 | 指令を受けて、ほかの端末への感染の拡大や、情報の探索を行う |
| 目的の実行 | 情報の持ち出し、ファイルの暗号化、DDoS攻撃への参加など |
C&Cサーバとの通信を早い段階で検知・遮断できれば、感染しても、その後の被害を防げる可能性がある。