C2 명령 및 제어

C2는 공격자가 침해한 시스템과 통신하며 명령을 전달하거나 결과를 받는 활동과 기반을 뜻합니다. 정상적인 장비 제어라는 일반 의미와 보안 문맥을 구분합니다.

공격 통신이 일상적인 프로토콜이나 서비스의 형태로 보일 수 있어 포트 번호 하나만으로 판단하기 어렵습니다. 목적지와 통신 주기, 실행 프로세스와 계정 등 여러 기록을 함께 확인합니다.

처음 보는 외부 주소와 반복 통신하는 프로세스가 있어도 정상적인 업데이트일 수 있습니다. 반대로 널리 사용하는 서비스와의 통신이라는 이유만으로 안전하다고 확정할 수도 없습니다.

C2는 제어 목적의 통신이고 Exfiltration은 데이터를 외부로 가져가는 목적의 활동입니다. 같은 통신 경로가 사용될 수 있지만 둘을 같은 사건이나 같은 기능으로 단정하지 않습니다.

C2로 의심되는 통신 하나만으로 랜섬웨어 계열이나 유출 완료를 확정하지 않습니다. 차단 여부는 업무 영향과 증거 보존을 함께 고려한 승인된 대응 절차에서 결정합니다.