最終更新日：2026年8月2日

sg threat_vulnerability malware unauthorized_access sg-security-overview

まず結論

C&Cサーバ（Command and Controlサーバ）とは、攻撃者がマルウェア感染端末へ命令を送り、遠隔操作するための指令・制御サーバです。

SG試験では、次の役割で切り分けます。

  • ボット：命令を受けて動く感染端末
  • ボットネット：多数のボットで構成されるネットワーク
  • C&Cサーバ：ボットへ命令を送る指令役

「遠隔操作」「命令を送る」「感染端末から外部へ接続する」が出てきたら、C&Cサーバを疑います。

直感的な説明

ボットネットを軍隊に例えると、ボットは兵隊、C&Cサーバは司令塔です。

攻撃者
  ↓ 操作
C&Cサーバ
  ↓ 命令
感染端末（ボット）
  ↓ 実行
DDoS、情報窃取、スパム送信など

感染端末は、外部のC&Cサーバへ接続して命令を受け取ることがあります。そのため、社内から外部へ向かう不審な通信も重要な手掛かりです。

定義・仕組み

C&CはCommand and Controlの略で、指令と制御を意味します。

典型的な流れは次のとおりです。

  1. 利用者の端末がマルウェアに感染する
  2. 感染端末がC&Cサーバへ接続する
  3. C&Cサーバから命令を受け取る
  4. 感染端末が攻撃や情報窃取を実行する
  5. 実行結果や窃取した情報を外部へ送る

攻撃者がすべての端末へ直接接続するのではなく、C&Cの仕組みを使うことで多数の端末をまとめて制御できます。

用語の切り分け

用語 役割
マルウェア 端末へ不正な処理をさせるプログラム
ボット マルウェアに感染し、命令を受けて動く端末
ボットネット 多数のボットをまとめたネットワーク
C&Cサーバ ボットへ命令を送り、情報を受け取る指令・制御基盤
攻撃対象サーバ DDoSなどの被害を受ける側

どんな場面で使う？

C&Cサーバは、次のような攻撃を制御するために使われます。

  • DDoS攻撃
  • スパムメール送信
  • 認証情報やファイルの窃取
  • キーロギング
  • 追加マルウェアのダウンロード
  • ランサムウェア攻撃の制御

検知・対応

感染端末がC&Cサーバへ接続している疑いがある場合は、単に端末を再起動するだけでは不十分です。

  • 不審な外向き通信を確認する
  • 接続先IPアドレスやドメインを調べる
  • 通信を遮断する
  • 感染端末をネットワークから隔離する
  • ログを保存して影響範囲を確認する
  • 他の端末にも同じ兆候がないか調べる
  • マルウェアを除去し、必要に応じて認証情報を変更する

SG試験では、感染端末と外部の指令元との通信を止めるという判断が重要です。

よくある誤解・混同

誤解1：C&Cサーバは攻撃対象である

誤りです。C&Cサーバは通常、攻撃命令を送る側の基盤です。DDoSを受けるWebサーバなどが攻撃対象です。

誤解2：C&Cサーバとボットネットは同じ

C&Cサーバは指令役、ボットネットは感染端末の集まりです。

誤解3：C&Cサーバはマルウェアそのものである

マルウェアは端末で動く不正プログラムです。C&Cサーバは、その感染端末を遠隔から制御するための接続先です。

誤解4：外部から社内への通信だけ監視すればよい

感染端末側からC&Cサーバへ接続する方式では、社内から外部への通信に兆候が現れます。

  • 外部から侵入する通信だけを見る → 不十分
  • 社内端末から不審な外部接続がないか見る → 重要

誤解5：C&Cサーバを遮断すれば調査は終わり

通信遮断は被害拡大を抑える対応ですが、感染原因、窃取情報、影響端末、認証情報の悪用なども調査します。

確認問題（SG試験対策）

C&Cサーバへ接続している疑いがある社内端末への初動として、適切なものはどれか。

  • ア. 端末をネットワークから隔離し、不審な外向き通信と影響範囲を調べる。
  • イ. 攻撃対象のWebサーバだけを再起動し、感染端末はそのまま利用する。
  • ウ. C&Cサーバは認証サーバなので、利用者アカウントを追加する。
  • エ. 通信ログを削除してから、端末の利用を継続する。
▶ クリックして答えと解説を見る（ここを開く）

正解：ア

解説

  • ア：適切です。感染端末を隔離し、C&C通信と影響範囲を確認します。
  • イ：C&Cへ接続している感染端末への対応になっていません。
  • ウ：C&Cサーバは正規の認証サーバではありません。
  • エ：ログは調査に必要な証拠なので保存します。

判断ポイントは、外部の指令元との通信を止め、感染端末と周辺への影響を確認することです。

まとめ（試験直前用）

  • C&Cサーバ＝感染端末へ命令を送る指令・制御基盤
  • ボット＝命令を実行する感染端末
  • ボットネット＝多数のボットの集まり
  • 攻撃対象サーバとC&Cサーバを混同しない
  • 社内から外部への不審な通信も確認する
  • 対応は、通信遮断・端末隔離・ログ保存・影響範囲の確認
  • SG試験では、誰が命令し、誰が実行し、誰が被害を受けるかで切り分ける

© 2024-2026 stemtazoo. All rights reserved.