C&Cサーバの役割は何か？ボットネットの仕組みから考える
情報セキュリティマネジメント試験 2022年 サンプル問題 問14 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
ボットネットにおけるC&Cサーバの役割として，適切なものはどれか。
- ア
Webサイトのコンテンツをキャッシュし，本来のサーバに代わってコンテンツを利用者に配信することによって，ネットワークやサーバの負荷を軽減する。
- イ
外部からインターネットを経由して社内ネットワークにアクセスする際に，CHAPなどのプロトコルを中継することによって，利用者認証時のパスワードの盗聴を防止する。
- ウ
外部からインターネットを経由して社内ネットワークにアクセスする際に，時刻同期方式を採用したワンタイムパスワードを発行することによって，利用者認証時のパスワードの盗聴を防止する。
- エ
侵入して乗っ取ったコンピュータに対して，他のコンピュータへの攻撃などの不正な操作をするよう，外部から命令を出したり応答を受け取ったりする。
会話形式の解説
講師今回はボットネットで使われるC&Cサーバの役割を問う問題です。選択肢には、攻撃者側のしくみと、正規の運用のためのしくみが混ざっています。どちらの側の説明かに注目してください。
受験者C&Cサーバという名前は聞いたことがありますが、何の略かまでは覚えていません。サーバと付いているので、どれも正しそうに見えてしまいます。
講師C&CはCommand and Control、つまり「指令と制御」の略です。ボットネットは、乗っ取られたコンピュータ、いわゆるボットの集まりです。C&Cサーバは、攻撃者がそのボット群に命令を出すための拠点にあたります。
受験者それなら、乗っ取ったコンピュータに外部から攻撃などを命令して、応答を受け取るという説明が当てはまりそうです。
講師そのとおりです。それがC&Cサーバの役割そのものです。ボットはこの指令に従って、他のコンピュータへの攻撃やスパムの送信などの不正な活動を行います。
受験者コンテンツをキャッシュして本来のサーバの代わりに配信するという説明も、サーバが別のサーバの代わりに動くので、少し司令塔っぽく感じました。
講師そこは混同しやすいところです。キャッシュしたコンテンツを配信してネットワークやサーバの負荷を減らすのは、CDN、つまりコンテンツ配信ネットワークの役割です。Webサイトを正しく運用するための技術で、ボットネットを操ることとは関係ありません。
受験者残りの二つは、社外から社内ネットワークに入るときにパスワードの盗聴を防ぐという内容でした。こちらも攻撃とは逆の話に見えます。
講師はい。CHAPなどの認証プロトコルを中継する説明は、リモートアクセスでの利用者認証に関わる正規の機能です。時刻同期方式のワンタイムパスワードを発行する説明は、認証サーバの役割です。どちらも正規の利用者が安全にログインするためのしくみで、乗っ取った端末に命令を出すものではありません。
受験者つまり、C&Cは「指令と制御」なので、命令を出して応答を受け取る説明を選べばよく、配信や認証の話は正規の運用側のしくみとして外せばいい、ということですね。
講師その整理で大丈夫です。補足すると、外部から社内のボットへ直接通信しようとしても、ファイアウォールで遮断されやすくなっています。そこで、感染した端末の側から定期的にC&Cサーバへ問い合わせて指令を受け取る方式が使われることがあります。これをコネクトバック通信といいます。
受験者内側から外へ出ていく通信なら、ファイアウォールを通り抜けやすいということですね。守る側は何に気をつければよいですか。
講師社内から外部への不審な通信を監視することが、ボットを見つける手がかりになります。試験では、C&Cサーバを司令塔、CDNを配信の負荷軽減、ワンタイムパスワードや認証プロトコルの中継を正規利用者の認証、と役割で区別して覚えておくと迷いにくくなります。
まとめ
C&CサーバのC&CはCommand and Control（指令と制御）の略で、ボットネットの司令塔にあたります。攻撃者はC&Cサーバから乗っ取ったコンピュータに攻撃などの命令を出し、その応答を受け取ります。キャッシュと配信で負荷を減らすのはCDNの役割で、認証プロトコルの中継やワンタイムパスワードの発行は正規の利用者を認証するしくみです。また、感染した端末の側からC&Cサーバへ問い合わせて指令を受け取るコネクトバック通信もあるため、社内から外部への不審な通信を監視することがボットを見つける手がかりになります。
解答・解説
正解はエです
この問題のテーマ
ボットネットを操る「C&Cサーバ」がどんな役割をしているかを問う問題です。似た説明の中から、攻撃者側のしくみを正しく選べるかが試されています。
解き方の考え方
まず「C&C」が Command and Control（指令と制御）の略だと思い出します。ボットネットは、乗っ取られたコンピュータ（ボット）の集まりです。C&Cサーバは攻撃者がそのボット群に命令を出すための拠点なので、「命令する」「制御する」という意味を含む選択肢を探します。ほかの選択肢は、負荷を減らすしくみや正規の利用者を認証するしくみで、守る側の技術です。この違いに気づけば、残るのはエだけです。
選択肢ごとの解説
- ×ア Webサイトのコンテンツをキャッシュし，本来のサーバに代わってコンテンツを利用者に配信することによって，ネットワークやサーバの負荷を軽減する。コンテンツをキャッシュして本来のサーバの代わりに配信し、負荷を減らす説明は、CDN（コンテンツ配信ネットワーク）の役割です。Webサイトを正しく運用するための技術で、ボットネットを操ることとは関係ありません。
- ×イ 外部からインターネットを経由して社内ネットワークにアクセスする際に，CHAPなどのプロトコルを中継することによって，利用者認証時のパスワードの盗聴を防止する。社外から接続するときに CHAP などの認証プロトコルを中継して、パスワードの盗聴を防ぐ説明は、リモートアクセスでの利用者認証に関わる正規の機能です。正規の利用者を守るためのしくみであり、乗っ取った端末に命令を出す C&Cサーバの役割ではありません。
- ×ウ 外部からインターネットを経由して社内ネットワークにアクセスする際に，時刻同期方式を採用したワンタイムパスワードを発行することによって，利用者認証時のパスワードの盗聴を防止する。時刻同期方式のワンタイムパスワードを発行する説明は、認証サーバの役割です。正規の利用者が安全にログインするための対策で、攻撃者が使うしくみではありません。
- ○エ 侵入して乗っ取ったコンピュータに対して，他のコンピュータへの攻撃などの不正な操作をするよう，外部から命令を出したり応答を受け取ったりする。乗っ取ったコンピュータに、外部から他のコンピュータへの攻撃などを命令し、その応答を受け取る説明は、C&Cサーバの役割そのものです。ボットはこの指令に従って、攻撃やスパムの送信などの不正な活動を行います。
補足
外部から社内のボットへ直接通信しようとしても、ファイアウォールで遮断されやすくなっています。そのため、感染した端末の側から定期的に C&Cサーバへ問い合わせて指令を受け取る方式が使われることがあります。これをコネクトバック通信といいます。社内から外部への不審な通信を監視することが、ボットを見つける手がかりになります。
POINT
- C&C は Command and Control の略で、ボットネットの司令塔にあたります。
- C&Cサーバは、感染した端末の群れに外部から指令を出し、その結果や応答を受け取ります。
- キャッシュと配信で負荷を減らすのは CDN の役割で、攻撃者側の用語と混同しないようにします。
- ワンタイムパスワードの発行や認証プロトコルの中継は、正規の利用者を守る認証の技術です。