לנתק את התוקף: חסימת תקשורת Command & Control

מה עובר בערוץ ה־C2

ערוץ ה־C2 משרת את התוקף לכל אורך המתקפה: קבלת פקודות והרצתן, הורדת כלים נוספים (למשל רכיב כופרה אחרי שלב איסוף), העלאת קבצים ומסמכים גנובים, ותיאום תנועה רוחבית בין תחנות. במתקפות כופרה, אפילו מפתחות ההצפנה מתואמים לרוב מול השרת.

המשמעות המעשית: נוזקה שלא מצליחה לתקשר עם השרת שלה מאבדת את רוב יכולתה. היא לא מקבלת פקודות, לא מדליפה מידע, ולעיתים קרובות נשארת במצב המתנה — עד שצוות האבטחה מאתר ומסיר אותה בנחת.

איך מזהים תשתיות C2

כתובות C2 מזוהות בכמה דרכים משלימות: ניתוח נוזקות במעבדות (הכתובות מוטמעות בקוד או באלגוריתם יצירת הדומיינים), ניטור תעבורה חשודה בארגונים מותקפים, מודיעין על תשתיות ענן שכורות המשמשות קבוצות תקיפה, ושיתופי מידע בין גופי מחקר, יצרנים ו־CERTים.

האינדיקטורים האלה — כתובות IP, דומיינים ולעיתים פורטים ספציפיים — מתפרסמים בפידים מודיעיניים. אבל כמו בכל IOC, ערכם תלוי במהירות: קבוצות תקיפה מחליפות תשתיות C2 בתדירות גבוהה, בדיוק כדי להקדים את החסימות.

חסימת C2 כרשת ביטחון

היופי בחסימת C2 הוא שהיא עובדת גם כשכל שאר השכבות נכשלו. נניח שקובץ זדוני חדש חמק מהאנטי־וירוס ומה־EDR כי טרם הופצה עליו חתימה. ברגע ההפעלה הוא פונה לשרת השליטה — ואם כתובת השרת חסומה ב־Firewall או ב־DNS, המתקפה נעצרת שם, לפני שנגרם נזק ממשי.

לכן הפצת אינדיקטורים של C2 לשכבת הרשת היא אחת הפעולות בעלות התמורה הגבוהה ביותר: חוק חסימה אחד מגן בבת אחת על כל התחנות בארגון, כולל כאלה שה־EDR עליהן טרם התעדכן — או שאין עליהן EDR כלל.

• חסימה ב־Firewall — מנתקת תקשורת יוצאת לכתובות ידועות
• חסימה ב־DNS — מסכלת רזולוציה של דומייני שליטה, כולל דומיינים מתחלפים
• שילוב עם EDR — מאפשר לזהות אילו תחנות ניסו לתקשר, ולטפל בהן

מהחסימה לחקירה

חסימת C2 היא לא רק מניעה — היא גם חיישן. כל ניסיון תקשורת שנחסם הוא אות ברור: יש תחנה נגועה ברשת. בשירות מנוהל כמו PULSE, ניסיונות כאלה מזוהים על ידי צוות ה־SOC, שמתריע ללקוח ומכוון את הטיפול בתחנה הנגועה — כך שהחסימה הפכה מקצה ההגנה לתחילת החקירה.