Beaconing
Beaconing
Beaconing（ビーコン通信）とは
ひとことで
侵害された端末上のマルウェアが、C2サーバーへ一定の間隔で通信して指示を確認する振る舞い。通信の規則性が検知の手がかりになる。
たとえると
遭難した人が、決まった時間ごとに懐中電灯を点滅させて合図を送るようなものです。光自体は小さくても、「きっちり同じ間隔で光る」という規則正しさが、自然の光ではないことを示しています。
現場ではこう使う
脅威ハンティングの担当者がプロキシとNetFlowのデータを分析し、社内のあるサーバーが、ほぼ同じサイズの通信を約60秒おきに同じ外部ドメインへ送り続けていることに気づきました。人の操作ではありえない規則正しさだったため調査すると、マルウェアがC2サーバーへ指示を問い合わせていたことがわかりました。
試験のポイント
EXAM POINT「一定間隔の外部への通信」「同じ宛先への小さな通信の繰り返し」「業務時間外も続く」と出てきたらビーコン通信で、C2通信の兆候として問われます。攻撃者は間隔にゆらぎ（ジッター）を加えて検知を逃れようとするため、完全に一定でなくても規則性を見ることが大切です。ソフトウェアの更新確認など正規の定期通信もあるため、通信先の評判と合わせて判断します。
混同しやすい用語との違い
- C2攻撃者が感染端末に指示を出すための通信の仕組み全体。ビーコンはその中の定期的な問い合わせの振る舞い
- データの持ち出し情報を外部へ送る行為で、通信量が大きくなりやすい。ビーコンは小さな通信の繰り返し