#امنیت_به_زبان_ساده
مقوله C2 چیست ؟
بحث C2 یا Command and Control یکی از اجزای اساسی در حملات سایبری پیشرفته (مانند APT) است که به مهاجم امکان می‌دهد پس از نفوذ اولیه، کنترل از راه دور بر سامانه قربانی حفظ کند. این سازوکار به عنوان یک کانال ارتباطی مخفیانه (Covert Channel) میان سیستم آلوده (Agent/Bot) و سرور مهاجم یا مادر (C2 Server) عمل می‌کند.
در معماری C2، معمولا Agent روی دستگاه قربانی نصب می‌شود و از طریق پروتکل‌هایی مانند HTTP/HTTPS، DNS، با سرور فرمان در تماس است. این ارتباط ممکن است Pull-based (کلاینت درخواست فرمان می‌دهد) یا Push-based (سرور مستقیماً فرمان ارسال می‌کند) باشد. هدف، حفظ پایداری و ماندگاری (Persistence) بدون شناسایی توسط سیستم‌های دفاعی و اعمال دستورات از سرور مادر در آینده است.
ارتباطات C2 اغلب رمزگذاری یا استتار می‌شوند؛ به عنوان مثال، استفاده از TLS tunneling برای عبور از سیستم های تشخیص نفوذ رایج است.انواع معماری‌های C2 شامل Centralized، Decentralized (P2P) و Multi-tier است. مهاجمان معمولاً برای افزایش ماندگاری از چندین fallback server یا cloud-based C2 استفاده می‌کنند.
از منظر دفاعی، تشخیص C2 یکی از وظایف حیاتی SOC است و با پایش anomalous DNS، beaconing intervals، unusual port usage، و TLS certificate anomalies انجام می‌شود.
قطع ارتباط C2 معمولاً مرحله‌ی مهمی برای قطع کامل زنجیره‌ی حمله (Kill Chain) محسوب می‌شود. اما اینکه چه زمان انجام شود به مدیر تیم IR شما وابسته است.
ثبت نام دوره SOC واتس اپ 09902857290
Www.haumoun.com
مقوله C2 چیست ؟
بحث C2 یا Command and Control یکی از اجزای اساسی در حملات سایبری پیشرفته (مانند APT) است که به مهاجم امکان می‌دهد پس از نفوذ اولیه، کنترل از راه دور بر سامانه قربانی حفظ کند. این سازوکار به عنوان یک کانال ارتباطی مخفیانه (Covert Channel) میان سیستم آلوده (Agent/Bot) و سرور مهاجم یا مادر (C2 Server) عمل می‌کند.
در معماری C2، معمولا Agent روی دستگاه قربانی نصب می‌شود و از طریق پروتکل‌هایی مانند HTTP/HTTPS، DNS، با سرور فرمان در تماس است. این ارتباط ممکن است Pull-based (کلاینت درخواست فرمان می‌دهد) یا Push-based (سرور مستقیماً فرمان ارسال می‌کند) باشد. هدف، حفظ پایداری و ماندگاری (Persistence) بدون شناسایی توسط سیستم‌های دفاعی و اعمال دستورات از سرور مادر در آینده است.
ارتباطات C2 اغلب رمزگذاری یا استتار می‌شوند؛ به عنوان مثال، استفاده از TLS tunneling برای عبور از سیستم های تشخیص نفوذ رایج است.انواع معماری‌های C2 شامل Centralized، Decentralized (P2P) و Multi-tier است. مهاجمان معمولاً برای افزایش ماندگاری از چندین fallback server یا cloud-based C2 استفاده می‌کنند.
از منظر دفاعی، تشخیص C2 یکی از وظایف حیاتی SOC است و با پایش anomalous DNS، beaconing intervals، unusual port usage، و TLS certificate anomalies انجام می‌شود.
قطع ارتباط C2 معمولاً مرحله‌ی مهمی برای قطع کامل زنجیره‌ی حمله (Kill Chain) محسوب می‌شود. اما اینکه چه زمان انجام شود به مدیر تیم IR شما وابسته است.
ثبت نام دوره SOC واتس اپ 09902857290
Www.haumoun.com
Comments
Be the first to add a comment
Log in to comment