C&Cサーバはボットネットで何をするのか
情報セキュリティマネジメント試験 令和元年度秋期 午前 問15 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
ボットネットにおいてC&Cサーバが担う役割はどれか。
- ア
遠隔操作が可能なマルウェアに，情報収集及び攻撃活動を指示する。
- イ
攻撃の踏み台となった複数のサーバからの通信を制御して遮断する。
- ウ
電子商取引事業者などに，偽のデジタル証明書の発行を命令する。
- エ
不正なWebコンテンツのテキスト，画像及びレイアウト情報を一元的に管理する。
会話形式の解説
講師今回はボットネットの中で、C&Cサーバがどんな役割を持つかを問う問題です。C&Cという略語が何を表しているかに注目すると、答えを絞り込みやすくなります。
受験者C&Cサーバという名前は見たことがありますが、何の略かは覚えていません。攻撃に関係するサーバだという印象はあります。
講師C&CはCommand and Controlの略で、「指令と制御」という意味です。ボットネットは、ボットというマルウェアに感染した多数の端末が、攻撃者の命令で一斉に動くネットワークのことです。
受験者そうすると、C&Cサーバは感染した端末に命令を出す側ということですね。遠隔操作できるマルウェアに情報収集や攻撃活動を指示する、という選択肢が当てはまりそうです。
講師そのとおりです。攻撃者はC&Cサーバを通じて感染端末に命令を送り、情報を盗み出させたり、DDoS攻撃を始めさせたりします。この選択肢が正解です。
受験者踏み台になった複数のサーバからの通信を制御して遮断する、という選択肢も「制御」という言葉が入っていて少し迷いました。
講師言葉は似ていますが、通信を遮断するのはファイアウォールやIDS/IPSのような防御側の機器の働きです。C&Cサーバは攻撃者側のサーバなので、通信を止める役割は持ちません。
受験者偽のデジタル証明書の発行を命令するという選択肢は、命令する点が似ていますが、指示する相手が違う気がします。
講師よく気付きました。デジタル証明書を発行するのは認証局（CA）で、C&Cサーバが指示を出す相手は感染端末のマルウェアです。また、不正なWebコンテンツのテキストや画像、レイアウト情報を一元管理するという選択肢は、CMS（コンテンツ管理システム）の機能に近い説明です。不正なコンテンツであっても、それを管理することはボットへの指令とは別物です。
受験者整理すると、C&Cサーバは攻撃者側にあって、ボットに感染した端末へ指令を出して操るサーバということですね。遮断は防御側の機器、証明書の発行は認証局の仕事だと区別して覚えます。
講師はい、それで大丈夫です。補足すると、外部から内部の端末への通信はファイアウォールで遮断されやすいため、感染したマルウェアの側からC&Cサーバへ定期的に問い合わせ、その応答で指令を受け取る方式があります。これをコネクトバック通信と呼びます。
講師また、ボットネットにはC&Cサーバを中心に置く中央集権型のほかに、中央のサーバを持たないP2P型もあります。関連用語としてあわせて押さえておきましょう。
まとめ
C&CサーバはCommand and Control（指令と制御）の略で、ボットネットにおいて感染端末のマルウェアに指令を出し、操るためのサーバです。攻撃者はC&Cサーバを通じて、情報収集やDDoS攻撃などの攻撃活動を感染端末に指示します。通信の遮断はファイアウォールやIDS/IPSなど防御側の機器、デジタル証明書の発行は認証局、コンテンツの一元管理はCMSの働きで、C&Cサーバの役割とは違います。関連して、マルウェア側からC&Cサーバへ問い合わせるコネクトバック通信や、中央のサーバを持たないP2P型ボットネットも押さえておくとよいでしょう。
解答・解説
正解はアです
この問題のテーマ
ボットネットを構成する要素のうち、C&Cサーバがどんな役割を持つかを問う問題です。用語の意味から役割を判断できるかが問われています。
解き方の考え方
C&CはCommand and Controlの略で、「指令と制御」を意味します。ボットネットは、ボットに感染した複数の端末が攻撃者の命令で動く仕組みなので、C&Cサーバは感染端末へ命令を出す側だと考えられます。この見方で選択肢を確認すると、感染したマルウェアに指示を出す内容になっているのはアだけです。ほかの選択肢は、防御側の機器、認証局、コンテンツ管理の説明になっています。
選択肢ごとの解説
- ○ア 遠隔操作が可能なマルウェアに，情報収集及び攻撃活動を指示する。アの「遠隔操作が可能なマルウェアに情報収集や攻撃活動を指示する」という説明は、C&Cサーバの役割そのものです。攻撃者はC&Cサーバを通じて感染端末に命令を送り、情報を盗み出させたり、DDoS攻撃を始めさせたりします。
- ×イ 攻撃の踏み台となった複数のサーバからの通信を制御して遮断する。イの「踏み台サーバからの通信を制御して遮断する」という説明は、ファイアウォールやIDS/IPSのような防御側の機器が受け持つ働きです。C&Cサーバは攻撃者側のサーバで、通信を遮断する役割は持ちません。
- ×ウ 電子商取引事業者などに，偽のデジタル証明書の発行を命令する。ウの「偽のデジタル証明書の発行を命令する」という説明は、C&Cサーバの役割ではありません。デジタル証明書を発行するのは認証局（CA）で、C&Cサーバの指示先は感染端末のマルウェアです。
- ×エ 不正なWebコンテンツのテキスト，画像及びレイアウト情報を一元的に管理する。エの「テキスト・画像・レイアウト情報を一元管理する」という説明は、CMS（コンテンツ管理システム）の機能に近いものです。不正なコンテンツであっても、それを管理することはボットへ指令を出すC&Cサーバの役割とは違います。
補足
外部から内部の端末への通信はファイアウォールで遮断されやすいので、感染したマルウェアの側からC&Cサーバへ定期的に問い合わせ、その応答で指令を受け取る方式があります。これをコネクトバック通信と呼びます。また、ボットネットにはC&Cサーバを中心に置く中央集権型のほかに、中央のサーバを持たないP2P型もあります。イは通信を遮断する防御側の機能の説明なので、C&Cサーバの役割とは区別しましょう。
POINT
- C&CサーバはCommand and Controlの略で、ボットに指令を出して制御するサーバです。
- ボットネットは、ボットに感染した多数の端末が攻撃者の命令で一斉に動くネットワークです。
- C&Cサーバから感染端末への指示には、情報収集やDDoS攻撃などの攻撃活動があります。
- 通信を遮断するのは防御側の機器で、証明書を発行するのは認証局です。攻撃者側のC&Cサーバとは役割が違います。