C&Cサーバとは？

C&Cサーバとは、マルウェアに感染した端末へ指令を送り、窃取した情報を受け取るために攻撃者が用意するサーバ。感染端末から外向きに接続させる（コネクトバック）ことで、ファイアウォールの受信規制を回避する。

情報処理安全確保支援士試験の過去問では5回出題されています（2018年度〜2025年度）。

しーあんどしーさーば

情報処理安全確保支援士試験の頻出用語／午前II／別名：C2サーバ、指令サーバ

C&Cサーバの意味

マルウェアに感染した端末へ指令を送り、窃取した情報を受け取るために攻撃者が用意するサーバ。感染端末から外向きに接続させる（コネクトバック）ことで、ファイアウォールの受信規制を回避する。

C&Cサーバの具体例

HTTPSやDNSに偽装した通信、CDNを隠れ蓑にするドメインフロンティングにより、正常通信に紛れさせる。

C&Cサーバは試験でどう引っ掛けられる？

対策はプロキシでの外向き通信の可視化とURLフィルタリング、DNSクエリの監視。「外向きの通信は安全」という前提が崩れている点が要点。

C&Cサーバと関連する用語

C&Cサーバが出た過去問

マルウェアMiraiの動作はどれか。
正解：ランダムなIPアドレスを生成してtelnetポートにログインを試行し,工場出荷時の弱いパスワードを使っているIoT機器などに感染を広げるとともに,C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
要点：Miraiは初期パスワードのIoT機器を乗っ取りDDoS
MiraiはIoT機器を狙うマルウェアで、無作為に生成したIPアドレスへtelnetで接続を試み、初期設定のままの弱い認証情報を持つ機器に侵入して感染を広げます。感染機器はボットネットを形成し、C&Cサーバからの指令で大規模なDDoS攻撃を行います。
出典：平成30年度秋期情報処理安全確保支援士試験 am2 問11（IPA）
マルウェアMiraiの動作はどれか。
正解：ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
要点：MiraiはIoT機器を弱い認証で乗っ取りDDoSのボット網を作る
MiraiはIoT機器を標的とするボット型マルウェアで、無作為に生成した宛先へTelnetなどで接続を試み、初期設定のままの認証情報を使って侵入し感染を広げる。感染機器はC&Cサーバの指令を待ち、命令に従って標的へ大量のトラフィックを送るDDoS攻撃に加担する。ソースコードが公開されたため多数の亜種が生まれ、対策としては初期パスワードの変更と不要な管理サービスの停止が基本となる。
出典：令和5年度秋期情報処理安全確保支援士試験 am2 問6（IPA）
ドメインフロンティングを悪用した攻撃の例として,適切なものはどれか。
正解：マルウェアが,CDNの機能を悪用し,実際の通信先を隠蔽して攻撃者のサーバに接続する。
要点：ドメインフロンティングはCDNを隠れ蓑に真の接続先を隠す
ドメインフロンティングは、TLSのSNIやDNS上は著名なCDNのドメイン名を示しておきながら、暗号化されたHTTPヘッダの中では別の宛先を指定して実際の接続先を隠す手法である。経路上の監視装置からは正当なサービスへの通信に見えるため、マルウェアがC&Cサーバとやり取りする通信の隠蔽に悪用される。CDN側の設定でホスト名の不一致を拒否することが対策となる。
出典：令和7年度秋期情報処理安全確保支援士試験 am2 問8（IPA）
マルウェアMiraiの動作はどれか。
正解：ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
要点：MiraiはIoT機器を乗っ取りC&C指令でDDoSを行うボット
Miraiは、初期パスワードのまま運用されているルータやネットワークカメラなどのIoT機器へtelnet等で不正ログインして感染を広げるボットです。感染機器は無作為に生成した宛先IPアドレスへ探索を続けて感染を拡大させつつ、C&Cサーバからの指令を待ち受け、指示された標的へ一斉にDDoS攻撃を仕掛けます。2016年に大規模なDNSサービス障害を引き起こしたことで知られます。
出典：令和7年度春期情報処理安全確保支援士試験 am2 問7（IPA）
IoC（Indicator of Compromise）に該当するものはどれか。
正解：あるネットワーク機器のログに残されたC&Cサーバとの通信履歴
要点：IoCは侵害が起きたことを示す観測可能な痕跡情報
IoCは、侵害の痕跡として観測される具体的な指標のことで、マルウェアのハッシュ値、C&Cサーバのドメイン名やIPアドレス、不審な通信ログやレジストリの変更などが該当します。すでに起きた（あるいは進行中の）侵害を検知・調査するための手掛かりである点が、まだ悪用されていない脆弱性情報や、防御のための設定値との違いです。
出典：令和7年度春期情報処理安全確保支援士試験 am2 問13（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。