Командование и управление

Сначала авторизация — C2 живёт в лаборатории, а не в чужой сети

Прежде любого механизма ниже остаётся в силе правило, открывающее весь этот трек: разворачивать инфраструктуру командования и управления и наводить имплант на хост легитимно только против систем, которыми ты владеешь или которые явно входят в согласованный объём тестирования. Запуск импланта, который маячит на твой сервер с машины, которой ты не управляешь, — это неправомерный доступ и закрепление в чужой сети, серьёзное преступление почти в любой юрисдикции и контракт-завершающая ошибка даже внутри санкционированной работы, если хост вне объёма. Всё здесь оформлено для CTF-полигона, намеренно собранной лаборатории или red-team-работы с подписанным документом правил вовлечения (rules of engagement), который заранее называет диапазоны целей и домены C2.

Мы учим механизму, чтобы ты мог его сломать. В MITRE ATT&CK командование и управление — это тактика TA0011; шаг перед ней — заставить код выполниться и выжить — это Execution и Persistence, а в Cyber Kill Chain от Lockheed Martin Command & Control стоит шестым звеном, прямо перед Actions on Objectives. Рамка kill chain здесь и есть суть: C2 — это узкое место. Атакующий может тихо проскользнуть мимо каждой ранней стадии, но он не может действовать на цели без канала обратно, — поэтому, если защитник ломает C2, вторжение глохнет с кодом на машине и без руки на штурвале.

Почему маячить наружу, а не подключаться внутрь

Проблема фаервола асимметрична, и эта асимметрия определяет всё. Корпоративный периметр по умолчанию роняет незапрошенные входящие соединения — для оператора нет слушающего порта, на который можно дозвониться. Но он почти всегда разрешает исходящий трафик на 443, потому что сотрудникам нужен веб. Поэтому имплант разворачивает направление: он не ждёт, пока к нему подключатся; он маячит — периодически сам инициирует соединение наружу к серверу C2, стягивает любую поставленную в очередь задачу, выполняет её и отправляет результат обратно, и всё это поверх протокола, которому фаервол уже доверяет.

Вот почему HTTPS — рабочая лошадка C2-канала. Запрос сливается со стогом обычного веб-трафика, а TLS шифрует тело, так что сетевой инспектор видит соединение с каким-то хостом на 443, но не задание внутри него. Цена — задержка: маяк, звонящий домой раз в минуту, означает до шестидесяти секунд между твоей командой и её выполнением. Операторы подстраивают этот интервал — короткий для интерактивной работы, длинный, чтобы оставаться тихим, — и именно эта единственная ручка настройки и есть шов, который защитник вскрывает.

Что выдаёт маяк: сигналы, на которые охотится защитник

Человек, листающий веб, ведёт себя рвано и нерегулярно — страницы, простой, видео, простой, другой сайт. Имплант на конфигурации по умолчанию — наоборот: он звонит одной и той же точке назначения с одной и той же частотой, бесконечно. Эта регулярность — главная улика. Защитники вычисляют время между соединениями от одного источника к одной точке назначения и ищут плотный, повторяющийся период — маяк с интервалом 60 секунд проступает как почти вертикальный пик в гистограмме межприходных интервалов, которого не порождает ни одна человеческая сессия.

Поверх ритма складываются ещё три сигнала. Запрос и ответ маяка малы и однообразны — по несколько сотен байт в каждую сторону, каждый раз, — в отличие от кособоких, переменных размеров реального веб-сёрфинга, где ответы кратно больше запросов. Точка назначения часто — молодой или низкорепутационный домен с малым легитимным трафиком, а не CDN, с которым говорит и каждый второй хост. А долгоживущий маяк даёт высокий счётчик соединений к одной редкой точке назначения за часы, что бросается в глаза, едва ты агрегируешь NetFlow по назначению. Ни один из них не убедителен в одиночку; вместе они и есть то, как ловят канал.

Уклонение и его собственные улики: джиттер, domain fronting, DNS-туннелирование

Операторы знают, что ритм — это выдача, поэтому они его притупляют. Первый ход — джиттер: рандомизировать интервал сна на какой-то процент, чтобы период был не ровно 60 секунд, а 45–75. Это размазывает пик межприходных интервалов, но не стирает его — за часы среднее всё равно кластеризуется, и обнаружение, бинующее межприходные интервалы с допуском на джиттер, всё ещё находит центральную тенденцию, которой никогда нет у случайного человеческого трафика. Джиттер выигрывает время; он не делает маяк похожим на человека.

Когда сам по себе 443 к странному домену и есть проблема, операторы тянутся к каналам, скрывающим, куда идёт трафик. Domain fronting отправляет TLS SNI на доверенный хост CDN, тогда как зашифрованный заголовок Host маршрутизирует к origin-серверу C2 за тем же CDN — сеть видит соединение с авторитетным доменом. DNS-туннелирование — вариант более отчаянный и более обнаружимый: оно протаскивает задание внутри DNS-запросов и ответов, потому что DNS разрешается даже в сетях, блокирующих прямой веб-выход. Но DNS строился под короткие кешируемые имена, поэтому туннелирование порождает длинные высокоэнтропийные поддомены и аномальный объём уникальных запросов к одной зоне — что, как показывает таблица, само по себе громкий сигнал. Каждое уклонение меняет одну улику на другую; работа защитника — знать, какую улику оставляет каждая техника.

Как это читает защитник — и как это направляет оператора

Инженер обнаружения ищет не нагрузку, а поведение. Устойчивая охота такова: для каждого внутреннего хоста сгруппируй исходящие потоки по точке назначения и помечай те назначения, к которым обращаются с ровной частотой, с однообразными малыми нагрузками, которые редки по всему парку и молоды или низкорепутационны. Эта логика выживает, потому что бьёт в структурный факт: имплант обязан звонить домой снова и снова — можно сменить протокол, домен и интервал, но удалённому оператору фундаментально нужен повторяющийся канал, а повторяемость обнаружима. Для авторизованного тестировщика это и есть проектное ограничение, которое надо уважать: самый скрытный C2 — тот, что минимизирует общее число контактов и вписывает назначение в обычный трафик хоста, а не тот, что просто шифрует тело.