コマンド＆コントロール
攻撃者が、侵害したシステムと通信して、指示を送り、操作するための仕組みです（英語では command and control。C2 や C&C と略す）。マルウェアに感染した端末は、攻撃者の用意したサーバなどと通信して、次の指示を受け取ります。
定義
MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）は、コマンド＆コントロールを、攻撃の段階（戦術）の一つ（TA0011）として、「侵害したシステムと通信して制御しようとする段階」と説明しています。攻撃者は、検知を避けるために、ふだんの通信をまねることが多いとしています。なお、盗んだ情報を外へ持ち出すことは、ATT&CK では別の段階（持ち出し。TA0010）として扱われます。ただし、C2 の通信路をそのまま使って持ち出す手口（T1041）もあります。
NIST の用語集の command and control は、軍事の意味（指揮官が部隊に権限を行使し指示すること）の定義で、ここでの意味とは異なります。
主な手口
ATT&CK の TA0011 に含まれる技術から、守る側が知っておきたいものを挙げます。
| 技術 |
内容 |
| アプリケーション層のプロトコル（T1071） |
Web の閲覧、ファイルの転送、メール、DNS などの、ふだん使われている通信の中に、指示と結果を埋め込み、ほかの通信に紛れる |
| 暗号化した通信路（T1573） |
暗号で通信の中身を隠す。ただし、鍵がマルウェアの中に含まれていると、解析で読み解かれることがある |
| 動的な名前解決（T1568） |
感染した端末のマルウェアが、攻撃者の側と共通の計算方法で、接続先のドメイン名・IP アドレス・ポート番号を次々に作り出し、遮断や検知を避ける |
| プロキシ（T1090） |
通信を中継する機器やサービス（プロキシ）を挟み、攻撃者のサーバと直接つながらないようにする |
守る手段
ATT&CK の各技術の緩和策（M で始まる番号）と検知の考え方から整理します。
| 手段 |
内容 |
| 外へ出る通信の管理 |
ネットワークの機器や端末で、入る通信と出る通信を、プロトコルに基づいて制限する（M1037。ファイアウォール）。既知の匿名化ネットワークや C2 の基盤への通信は、許可・遮断の一覧で止められる。ただし、ほかの手口で回避されることもある |
| 侵入検知・防止 |
特定のマルウェアの通信の特徴（シグネチャ）で、通信を見つけて止める（M1031。ids/ips）。ただし ATT&CK は、攻撃者は時間とともに C2 の通信の特徴を変えていくだろうとしている |
| 暗号化された通信の検査 |
途中で通信を復号して、暗号化された通信の中身を確かめる（M1020。TLS）。ただし米国の CISA は、検査の製品が証明書を正しく確かめないと、かえって通信の保護を弱めると注意し、導入の前に長所と短所を慎重に検討し、導入するなら製品が証明書を正しく確かめるかを検証するよう勧めている。また、従業員の通信の中身を見ることになるため、社内の規程を整え、利用者に知らせておくことが望ましいと考えられる |
| DNS の守り |
動的な名前解決への対策として、場合によっては、組織の DNS で悪性のドメインへの問い合わせを無害な宛先に向け直す仕組み（DNS シンクホール）が役立つ（T1568 の M1021）。ただし、止めてはいけないドメインもある（wannacry の例） |
| 振る舞いで見つける |
ふだんは通信しないプロセスが外へ暗号化した通信を始める、よく使われるプロトコルをふだんと違うプロセスが使う、といった異常を見つける（ATT&CK の検知の考え方。検知） |
C2 の通信を見つけることは、感染に気づくきっかけになります。外へ出る通信を必要なものに絞り、ネットワークを分けておくと（
ネットワークセグメンテーション）、異常な通信が目立ちやすくなると考えられます。
関連するページ
出典
確認日：2026年10月17日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 09:11
