Définition simple
Le commandement et contrôle, ou C2, désigne les communications utilisées par un attaquant pour piloter des systèmes compromis.
Objectif et usage
Ce canal lui permet de transmettre des instructions, de recevoir des résultats ou de maintenir un lien avec son infrastructure.
Comment ça fonctionne ?
Les communications peuvent emprunter des protocoles et services ordinaires. Leur détection demande donc de rapprocher destinations, processus, fréquence et contexte plutôt que de rechercher un port unique.
Points clés
- Exemple : un processus inhabituel contacte régulièrement un domaine externe sans justification métier connue.
- Corréler les journaux DNS, proxy, pare-feu et EDR pour confirmer le processus source et la chronologie.
Points d’attention
Un trafic périodique ou chiffré n’est pas automatiquement malveillant. Bloquer une adresse ne suffit pas à supprimer la compromission du poste.
En résumé
Le C2 relie l’attaquant au système compromis ; l’investigation doit traiter le canal et son origine.