C2フレームワーク：Cobalt StrikeとSliver

Command and Control（C2）フレームワークは、レッドチーム活動で侵害したシステムを管理するためのプラットフォームです。オペレーターとインプラントの通信チャネル、タスク管理、侵入後のエクスプロイトモジュール、ログ機能を提供します。

Cobalt Strikeは、最も広く使用されている商用C2フレームワークです。主な機能は次のとおりです。

• Malleable C2プロファイル（ネットワークトラフィックをカスタマイズして通常の通信に紛れ込ませます）
• Beaconインプラント（HTTP、HTTPS、DNS、SMB通信）
• 複数オペレーターでの協働に対応するチームサーバー
• 自動化のためのAggressor Script

実際の脅威アクターによって悪用されることが多いため、IR調査で認識できるようにしておきましょう。

Beaconペイロードは、次の機能をサポートします。

• ジッターを伴うスリープ間隔（タイミングベースの検出を回避します）
• 暗号化通信
• メモリ内実行（ディスク上にファイルを残しません）
• 侵害したホスト経由のSOCKSプロキシ

Sliver（BishopFox）は、無料で利用できるオープンソースのC2フレームワークです：

• mTLS、HTTP/S、DNS、WireGuardのチャネルをサポート
• Goで生成されるインプラント（クロスプラットフォーム）
• 組み込みのインプラント難読化（Garble）
• マルチプレイヤー対応

MetasploitのMeterpreterは基本的なC2ですが、Cobalt StrikeやSliverなどの専用フレームワークには次の利点があります：

• より高い運用上のセキュリティ（可変プロトコル／カスタムプロトコル）
• 複数オペレーター対応
• より高度なポストエクスプロイテーション
• レッドチームのエンゲージメント向けのログ記録とレポート作成

C2インフラストラクチャの運用上のセキュリティ対策：

• リダイレクター（nginx）を使用して実際のC2サーバーを隠す
• ドメインフロンティング（CDN経由で通信をルーティングし、C2ドメインを隠す）
• 正規に見えるドメインを取得する（Webフィルターで分類されるもの）
• エンゲージメントごとに別のインフラストラクチャを使用する

ブルーチームは、次のような手掛かりからC2通信を検出します：

• 通常とは異なるHTTP User-Agent文字列またはヘッダー
• 周期的なビーコン間隔（規則的な外向き接続）
• 新しく登録されたドメインや評価の低いドメインへのDNSクエリ
• Cobalt StrikeやSliverのシグネチャに一致するYaraルール
• 既知のインプラントパターンを対象としたメモリースキャン

一般的なC2のポストエクスプロイテーション機能：

• 認証情報のダンプ（Mimikatzとの統合）
• ラテラルムーブメント（WMI、PSExec、SMB）
• 永続化（スケジュールタスク、レジストリキー）
• スクリーンショット、キーロガー、ファイルブラウザー
• 侵害済みホスト経由のピボット

Cobalt StrikeのMalleable C2プロファイルは、ビーコン通信をカスタマイズして正規のアプリケーション（Slack、Teams、OneDrive）に見せかけます。ネットワーク防御製品はデフォルトプロファイルのシグネチャと照合するため、カスタムプロファイルを使うとこれらのシグネチャを回避できます。

C2フレームワークは正規のペネトレーションテストツールですが、明示的な書面による認可が必要です。認可されていない対象に対してC2フレームワークを使用することは連邦犯罪です。ルール・オブ・エンゲージメントでは、次の事項を明確に定義してください：

• 侵害してよいシステムの範囲
• データ持ち出しに関する制限
• 対象範囲外のターゲット

インシデント対応（IR）チームは、次の点を調べます：

• 通常とは異なる親子プロセスの関係（WordがPowerShellを起動するなど）
• 外部ネットワークへの接続を行うLOLBins
• イベントログに記録されたエンコード済みのPowerShellコマンド
• 通常とは異なる名前のスケジュールタスクやサービス
• メモリ内のCobalt Strikeウォーターマーク（Beacon内のTeam ID）

Cobalt Strikeで、ビーコンのネットワークトラフィックをカスタマイズして正規のサービスに見せかけ、検出を回避できる機能は何ですか？

C2フレームワーク（Cobalt Strike、Sliver）は、暗号化されたチャネル、ポストエクスプロイテーションモジュール、複数オペレーター対応機能を使って、侵害済みシステム上のインプラントを管理します。Malleable C2プロファイルは正規のトラフィックに偽装することで検出を回避します。検出の手掛かりは、ビーコン間隔、通常とは異なるDNS通信、Yaraシグネチャです。必ず書面による認可を取得してください。悪用は犯罪です。