Môže používať dedikované servery, relaye, peer-to-peer siete, kompromitovanú infraštruktúru alebo legitímne online služby. C2 je rola a správanie, nie jeden protokol, adresa, nástroj alebo generické odchádzajúce spojenie.
Implant môže kontaktovať infraštruktúru periodicky, udržiavať reláciu otvorenú, sťahovať úlohy cez zdieľané umiestnenie alebo prijímať jednosmerné inštrukcie. Prevádzka môže používať bežné aplikačné protokoly, šifrovanie, proxy a meniace sa destinácie, aby pripomínala očakávanú aktivitu. Vyšetrovanie preto kombinuje komunikačné vzory s dôkazmi procesov, identít, konfigurácie a úloh.
Kľúčové body
Operačné funkcieC2 môže doručovať príkazy a konfiguráciu, prenášať ďalšie komponenty, koordinovať mnohé boty, meniť časovanie alebo infraštruktúru a prijímať výsledky vykonania alebo nazbierané informácie.
ArchitektúraMapovať kontroléry, presmerovania, proxy, kompromitované relaye, miesta dead-drop, peer vzťahy, záložné cesty a systémy, ktoré ich rezolvujú alebo hostia, bez predpokladania jedného centrálneho servera.
Detekcia a ohraničenieKorelovať nezvyčajné časovanie, destinácie, správanie protokolov, predkov procesov, históriu domén alebo certifikátov, udalosti koncových zariadení a známu infraštruktúru; validovať, či má komunikácia schváleného vlastníka a účel.
Dôležité obmedzenieČasovanie pripomínajúce beaconing, šifrovanie, dynamické domény alebo prevádzka na cloudovú službu môžu byť všetky legitímne. Zablokovanie jednej destinácie môže odhaliť záložnú cestu alebo prerušiť dôkazy bez odstránenia implantu, ukradnutej identity, perzistencie alebo iných dotknutých systémov.