情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問14
問題文
ボットネットにおけるC&Cサーバの役割として、適切なものはどれか。
選択肢
ア：Webサイトのコンテンツをキャッシュし、本来のサーバに代わってコンテンツを利用者に配信することによって、ネットワークやサーバの負荷を軽減する。
イ：外部からインターネットを経由して社内ネットワークにアクセスする際に、CHAPなどのプロトコルを用いることによって、利用者認証時のパスワードの盗聴を防止する。
ウ：外部からインターネットを経由して社内ネットワークにアクセスする際に、チャレンジレスポンス方式を採用したワンタイムパスワードを用いることによって、利用者認証時のパスワードの盗聴を防止する。
エ：侵入して乗っ取ったコンピュータに対して、他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりする。（正解）
🔒 解説は解答すると表示されます
ボットネットのC&Cサーバ【情報セキュリティマネジメント解説】
正解の理由
C&Cサーバは Command and Control server（指令・制御サーバ）で、攻撃者が感染させた複数の端末（ボット：感染して遠隔操作されるコンピュータ）を一括して操作するために使います。設問の選択肢のうち、侵入して乗っ取ったコンピュータに外部から命令を出したり応答を受け取ったりする役割を述べているのが エ です。これがC&Cサーバの本質的な役割であり、DDoS（分散型サービス妨害攻撃）やスパム送信、情報窃取などの指示を出す中枢になります。
※ ボットネット（botnet）は、感染した複数のコンピュータを遠隔操作して悪用する仕組みです。
解法ステップ
- 問題文のキーワード「C&C」を思い出す。C&Cは Command and Control（指令・制御）の略。
- 各選択肢が説明している機能を短く分類する。（例：キャッシュ配信／認証プロトコル／ワンタイム認証／遠隔命令）
- 「侵入して乗っ取ったコンピュータに命令を出す」という記述はボットネットの制御を説明していると判断する。
- それに一致する選択肢 エ を選ぶ。
ポイント：C&C＝「指令を出す」「感染端末から応答を受け取る」がセットで説明されていれば正答と覚えると速いです。
選択肢別の誤答解説
- ア：Webコンテンツをキャッシュして配信する説明です。これはCDN（Content Delivery Network：コンテンツ配信ネットワーク）やプロキシキャッシュの役割で、C&Cとは無関係です。
- イ：CHAP（Challenge-Handshake Authentication Protocol：チャレンジ-ハンドシェイク認証プロトコル）を使う説明です。これは利用者認証時の仕組みで、認証プロトコルに関する記述でありC&Cの役割ではありません。
- ウ：ワンタイムパスワード（one-time password：使い捨てのパスワード）をチャレンジレスポンスで使う説明です。これも認証強化の話で、ボットネットの指令系とは別領域です。
- エ：侵入して乗っ取ったコンピュータに対して命令を出し応答を受け取る、つまりボットを制御する役割の説明です。これがC&C（Command and Control）サーバの機能そのものです。
よくある誤解
- 「C&C＝単なる悪意あるサーバ」だけではない：C&Cの概念自体は「指令と制御」であり、必ずしも単一の中央サーバとは限りません。P2P（Peer-to-Peer：ピアツーピア）型の分散C&Cも存在します。
- 「CHAPやワンタイムパスワードは完全に安全」ではない：CHAPは平文パスワードを直接送らない仕組みですが、脆弱性やリレー攻撃のリスクがあるため単独で万能ではありません。
- 「ボットはDDoSだけに使われる」は誤り：ボットはスパム送信、暗号通貨の不正採掘、情報窃取、内部ネットワークのスキャンなど多用途に使われます。
補足コラム
職場でのイメージ：社内PCが気づかないうちにマルウェアに感染すると、その端末が外部のC&Cサーバから「これこれのサイトに大量アクセスしてサービスを落とせ」「このメールアドレスにスパムを送れ」と命令を受け実行します。担当者としては、外向け通信（社内→外部）の異常増加や見慣れない外部接続先がないかをログで確認する運用が重要です。
実務での対策例：
- エンドポイント対策ソフトの導入と更新（ウイルス検知・振る舞い検知）。
- Egress（出口）フィルタリング：不要な外部接続を遮断する。
- DNS sinkhole（DNSシンクホール：悪性ドメインを無害なIPに向ける手法）やIPブロックリストの活用。
- 感染が疑われた端末はネットワークから隔離して調査・復旧する（初動対応）。
- ユーザ教育（不審な添付ファイルやリンクを開かない）。
FAQ
Q1: C&Cサーバは常に一つの中央サーバですか？
A1: いいえ。中央集権型のC&Cもありますが、追跡回避のためにP2P型やドメインフラックス（頻繁にドメインを変える）など多様な方式があります。
A1: いいえ。中央集権型のC&Cもありますが、追跡回避のためにP2P型やドメインフラックス（頻繁にドメインを変える）など多様な方式があります。
Q2: どうやってC&C通信を検出できますか？
A2: 通常と異なる外向き通信の増加、不審なドメインへのDNSクエリ、既知のC&CサーバIPへの接続が指標になります。ネットワーク流量の異常検知やSIEM（Security Information and Event Management：セキュリティ情報イベント管理）ツールが役立ちます。
A2: 通常と異なる外向き通信の増加、不審なドメインへのDNSクエリ、既知のC&CサーバIPへの接続が指標になります。ネットワーク流量の異常検知やSIEM（Security Information and Event Management：セキュリティ情報イベント管理）ツールが役立ちます。
Q3: 感染した端末は自分で見分けられますか？
A3: 完全に見分けるのは難しいことが多いです。動作が重くなる、見覚えのない通信やメール送信履歴が増えるなどの兆候があればIT部門に連絡して調査してもらいましょう。
A3: 完全に見分けるのは難しいことが多いです。動作が重くなる、見覚えのない通信やメール送信履歴が増えるなどの兆候があればIT部門に連絡して調査してもらいましょう。
関連キーワード: ボットネット、C&Cサーバ、Command and Control、マルウェア、DDoS、CDN、CHAP、ワンタイムパスワード、P2P型ボットネット、DNSシンクホール、エンドポイント対策、出口（Egress）フィルタリング
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！