C&Cサーバーとは？DNSシンクホール・DGA検知でボットネットを暴く仕組み【SC試験対策】

インターネットに接続されたパソコンやスマートフォン、オフィスの片隅で稼働しているIoT機器が、知らない間に「サイバー犯罪の加害者」になっている可能性があることをご存じでしょうか。画面上では何の変化もなく、ウイルス対策ソフトの警告も出ない。しかし裏側では外部からの「指令」を受け取り、他組織へのサイバー攻撃を仕掛けている。これがボットネットの恐ろしさであり、その司令塔がC&Cサーバー（C2サーバー）です。

情報処理安全確保支援士（SC）試験でも、C&Cサーバーとボットネットの関係は、マルウェアの挙動解析やネットワークログ分析の最重要テーマです。そして近年、攻撃者と防御側の攻防が最も激しく繰り広げられているのがDNS（名前解決）の領域です。攻撃者はDGAやFast FluxでC&CサーバーのドメインをDNS上で隠し、防御側はDNSシンクホールやDNSログ分析でそれを暴きます。

筆者はインフラエンジニア・CIOとして長年ネットワークを見てきましたが、DNSログは「攻撃者が最も足跡を残す場所」でありながら「最も見落とされる場所」でもあります。本記事では、C&Cサーバーの仕組みと、攻撃者がどのように攻撃インフラを構築・維持するのか（構築手順のハウツーではなく、防御側が知るべき攻撃インフラの裏側）を解剖したうえで、DNSシンクホール・DGA検知を中心とした防御・検知の実務までを、SC試験の出題ポイントに沿って解説します。

C&Cサーバーとボットネットの基礎解剖

サイバー攻撃のニュースで頻繁に耳にする「ボットネット」ですが、その実態は単なるウイルス感染とは構造が異なります。まずは全体像を構成する用語と、ビジネスモデル化している現状を整理します。

ボット（Bot）とウイルスの決定的な違い

一般的なコンピュータウイルスやワームが「自己増殖」や「データの破壊」を主目的とすることが多いのに対し、ボット（Bot）は「外部からの遠隔操作」を主目的としたマルウェアです。「ロボット（Robot）」から名付けられたその名の通り、ボットは攻撃者からの命令を静かに待ち受け、指令が下るとスパムメール送信、DDoS攻撃、情報窃取などのタスクを忠実に実行します。

ボットに感染した端末は、所有者が普段通り使えているため感染に気づきにくく、攻撃者の配下にあることから「ゾンビPC」「ゾンビ端末」とも呼ばれます。感染に気づかないまま、自分の端末が知らぬ間に攻撃の踏み台として利用されている可能性があるのです。

C&Cサーバー（Command and Control Server）の役割

ボットに感染した多数のゾンビPCに対して、一斉に命令を下す司令塔となるサーバーがC&Cサーバー（C2サーバー、Command and Control Server）です。攻撃者は個々のゾンビPCを直接操作するわけではありません。もし自分のPCから直接ゾンビPCに接続すれば、IPアドレスから足がつきますし、数万台の管理など不可能だからです。

そこでC&Cサーバーを介在させます。攻撃者はC&Cサーバーに指令をアップロードし、各ボットがそれを読みに行くという構造を取ることで、自身の身元（IPアドレスなど）を隠蔽しつつ、世界中に散らばる数万・数百万台のボットを一元管理（Command & Control）します。SC試験では、この「攻撃者 → C&Cサーバー → ボット → 標的」という通信フローの理解が繰り返し問われます。

ボットネットの脅威と「MaaS」の台頭

C&Cサーバーと、その配下の多数のボット群で構成されるネットワーク全体をボットネットと呼びます。ボットネットの最大の脅威は「数の暴力」です。1台のPCからの攻撃ならファイアウォールで簡単に防げますが、世界中の10万台のPCから一斉に通信が送られれば、巨大企業のサーバーであってもダウンしかねません。

さらに近年では、ボットネットの利用自体がビジネス化しています。MaaS（Malware as a Service）やBooter Serviceと呼ばれ、ダークウェブ上では「1時間あたり数ドルでDDoS攻撃代行」といったサービスが販売されています。高度な技術を持たない攻撃者でも、金銭さえ払えば強力なボットネットを利用できるようになりました。攻撃のハードルが劇的に下がる「攻撃の民主化」が進んでいるのが現状です。

攻撃者はC&Cサーバーをどう構築・維持するのか（攻撃インフラの裏側）

「C&Cサーバ 構築」というキーワードで検索する人の多くは、C&Cサーバーがどのように用意され、なぜ簡単には潰せないのかを知りたいはずです。ここでは防御側が理解しておくべき「攻撃インフラの裏側」として、攻撃者がC&Cを維持する仕組みを解説します（本記事はC&Cを構築する手順書ではなく、検知・防御のための攻撃者視点の解説です）。

C&Cサーバーが「落ちにくい」3つの工夫

攻撃者にとってC&Cサーバーは攻撃インフラの生命線です。IPアドレスやドメインがブラックリストに載れば通信が遮断され、ボットネット全体が無力化されます。そこで攻撃者は、C&Cを「落ちにくく」するために主に次の3つの工夫を組み合わせます。

• ドメインの隠蔽（DGA）：C&Cのドメイン名を固定せず、アルゴリズムで多数のドメインを日々生成し、そのうち少数だけを実際に取得して使う。詳細は後述します。
• IPアドレスの分散（Fast Flux）：1つのドメインに紐づくIPアドレスを短時間で次々と切り替え、実体のサーバーを追跡させない。詳細は後述します。
• 取り締まりにくいホスティングの利用：削除要請に応じない、いわゆる防弾ホスティング（Bulletproof Hosting）や、乗っ取った正規サーバー・IoT機器を中継点として利用する。

中継ノード化とORBネットワーク（最新のインフラ進化）

C&Cインフラは今も進化を続けています。近年は、乗っ取った家庭用ルーターやIoT機器を自律的な中継ノードに変え、複数の機器を数珠つなぎにした多段中継チェーンで真の指令元を隠す手法が広がっています。2025年に「LapDogs」として公開されたORB（Operational Relay Box）ネットワークはその代表例で、2026年7月にはCisco Talosが、この手法を使う新マルウェア「LONGLEASH」を報告しています。Talosの報告によると、これらはゼロデイではなく、既知の未パッチ脆弱性（Ruckus製品のCVE-2023-25717など）を突いて侵入する点が特徴とされ、「パッチ適用の遅れがC&Cインフラに悪用される」という基本の重要性を改めて示しています。

つまり攻撃者は、C&Cサーバーを1台構築して終わりではなく、DNSとネットワーク中継の両面で「追跡を困難にする冗長構成」を常に維持しています。防御側がこの前提を理解していないと、1つのドメインやIPを遮断しただけで「対処完了」と誤認してしまいます。

攻撃者側の手口：検知を回避する高度な通信技術

SC試験の午後問題では、感染端末がC&Cサーバーとどのように通信し、その通信をどう検知するかが問われます。攻撃者はセキュリティ機器による検知を逃れるため、通信プロトコルを年々高度化させています。

IRCからHTTP/HTTPSへの進化：通信のステルス化

2000年代初頭のボットネットは、チャット用プロトコルであるIRC（Internet Relay Chat）を使用していました。IRCサーバーにボットが集合し、チャットルームで攻撃者からの指令を待つ仕組みです。しかしIRCは一般的な企業ネットワークでは業務に使われないため、ファイアウォールでポート（6667番など）ごと遮断されやすく、検知も容易でした。

そのため現在では、Web閲覧と同じHTTPや、通信内容が暗号化されるHTTPSを使うのが主流です。企業のファイアウォールでもWeb通信（80番/443番ポート）は許可されていることが多く、膨大なWebアクセスログに悪意ある通信を紛れ込ませられます。特にHTTPSを使われると、ファイアウォールやIDS（侵入検知システム）では通信の中身（ペイロード）を検査できないため、検知の難易度は格段に上がります。

コネクトバック（Connect Back）通信のメカニズム

ファイアウォールは通常、外部から内部への通信（Ingress）は厳しく制限しますが、内部から外部への通信（Egress）は「Web閲覧のため」などの理由で比較的緩やかに設定されています。この性質を悪用し、攻撃者が外部から内部の感染端末へ接続しにいくのではなく、感染した内部のボットから外部のC&Cサーバーへ定期的に接続しに行かせます。これをコネクトバック通信と呼びます。

ボットは定期的に「指令はありますか？」とC&Cサーバーへアクセス（ポーリング）し、指令があればそれを持ち帰って実行します。見かけ上はユーザーがWebサイトを見ているのと区別がつきにくいため、非常に厄介です。SC試験では、通信の方向性・頻度・時間帯からコネクトバック通信の異常を見抜く力が求められます。

C&CサーバーとDNSの深い関係：DGAとFast Flux

ここが本記事の中核です。攻撃者がC&Cサーバーを隠す舞台は、多くの場合DNS（名前解決）です。C&CのIPアドレスやドメインがブラックリストに登録されて遮断されるのを防ぐため、攻撃者はDNSの仕組みそのものを悪用します。SCでも頻出の用語ですので、仕組みを確実に理解しましょう。

DGA（Domain Generation Algorithm：ドメイン生成アルゴリズム）

C&Cサーバーのドメイン名を固定すると、そのドメインをブラックリストに入れるだけでボットネットは無力化されます。これを回避するのがDGAです。マルウェア内部のアルゴリズムによって、一定時間ごとにランダムなドメイン名を多数生成する仕組みです。

たとえば「日付」や「時刻（Unixタイムスタンプ）」などの変動する値をシード（種）として使い、abc123xyz.com や qwe987rty.net のような無意味な文字列のドメインを1日に数百〜数千個生成します。攻撃者は同じアルゴリズムで事前に生成ドメインを知っており、そのうち1つだけを実際に取得してC&Cサーバーとして稼働させます。ボットは生成されたドメインリストへ順番に接続を試み、成功した場所から指令を受け取ります。

守る側からすれば、今日遮断したドメインは明日には使われず、明日はまた別の未知のドメインが使われるため、従来のブラックリスト方式では追いつきません。ただしDGAには弱点もあります。生成された多数のドメインのうち攻撃者が実際に登録しているのはごく一部なので、ボットは残りの未登録ドメインに問い合わせて大量のNXDOMAIN（ドメインが見つからないエラー）をDNSログに残します。この特徴が、後述する検知の決め手になります。

Fast Flux（ファストフラックス）とDNSレコード

Fast Fluxは、1つのドメイン名に紐づけるIPアドレス（Aレコード）を極めて短い時間（数分〜数秒）で次々と変更する技術です。ラウンドロビンDNSを悪用したものと言えます。ここでIPアドレスとして登録されるのは攻撃者のサーバー本体ではなく、世界中に散らばる他の感染ボット（プロキシとして機能するボット）のIPアドレスです。

調査員がそのドメインを解決してIPアドレスを特定し、アクセスを試みても、たどり着くのは単なる一般家庭の感染PCであり、真のC&Cサーバー（マザーシップ）には到達できません。さらに高度なDouble Fluxでは、AレコードのIPアドレスだけでなく、権威DNSサーバー（NSレコード）のIPアドレスも次々と変更させることで、ドメインの停止措置（テイクダウン）を極めて困難にします。

Fast Fluxを見抜く鍵はTTL（Time To Live：キャッシュの有効期間）です。通常のWebサイトでは数時間〜数日に設定されるTTLが、Fast Fluxでは数分や数秒に設定されています。極端に短いTTLと、同一ドメインに対して短時間に多数の異なるIPアドレスが返る挙動は、DNS応答を分析する際の強力な異常検知の指標になります。SCでは、Fast Fluxの仕組みとAレコード・NSレコード・TTLの関係を理解しておく必要があります。

ボットネットが引き起こす破壊活動の全貌

ボットネットは、攻撃者が保有する強大な「分散コンピューティングリソース」です。これを悪用して金銭的利益を得たり、特定の組織に甚大なダメージを与えたりします。

DDoS攻撃（分散型サービス妨害攻撃）

最も代表的な攻撃です。数万台のボットから一斉にターゲットへ通信を発生させ、サービス不能状態に陥れます。UDP Flood / SYN Floodは、ネットワーク帯域や接続リソースを枯渇させるL3/L4層の攻撃です。SYN Floodでは、TCPの3ウェイハンドシェイクを悪用し、大量のSYNパケットを送りつけて半開き接続を大量に作り出し、正規ユーザーの接続を受け付けられなくします。

HTTP GET/POST Floodは、正規のWeb閲覧を装いサーバーのCPUやデータベース処理に高負荷をかけるL7層の攻撃です。ファイアウォールでは防ぎにくく、WAF（Web Application Firewall）やレート制限が必要です。リフレクション攻撃は、DNSやNTPサーバーなど応答倍率が大きいプロトコルを悪用し、送信元IPを標的に偽装（IPスプーフィング）して増幅した応答を標的に集中させる手法です。

IoT機器を悪用したMiraiボットネットは、パスワードが初期設定のままのカメラやルーターを乗っ取り、テラビット級のDDoS攻撃を実現しました。2016年にはDNSサービスプロバイダーであるDynへの攻撃により、X（旧Twitter）、Netflix、Redditなど多数の主要サイトが影響を受けました。DNSプロバイダーが標的になった点は、DNSがインターネットの急所であることを象徴する事例です。

スパムメール送信・情報窃取・クリプトジャッキング

ボットは迷惑メールやフィッシングメールの送信元にも利用されます。正規のプロバイダ契約をした一般家庭のPCを踏み台にするため、受信側のIPベースのスパムフィルタ（RBLなど）をすり抜けやすくなります。Emotetは、感染端末のメール履歴を盗み、それを基に「返信を装ったフィッシングメール」を作成・送信することで、受信者の警戒心を解いて感染を広げました。

企業内PCがボット化すると、そのPCは攻撃者の橋頭堡（きょうとうほ）となります。攻撃者は内部ネットワークをスキャンし、ファイルサーバーの機密情報を盗んだり、Active Directoryの管理者権限を奪取して横展開（ラテラルムーブメント）を行ったりします。ランサムウェア攻撃の前段階として、ボットネットによる初期侵入と数週間〜数か月の潜伏が行われるケースも多くなっています。この多段階攻撃（マルチステージ攻撃）の全体像は、APT（高度標的型攻撃）とサイバーキルチェーンの記事とあわせて理解すると、各段階でログに残る痕跡が立体的につかめます。

またクリプトジャッキングでは、感染PCのCPU/GPUを勝手に使い、Moneroなど追跡困難な暗号資産のマイニングを行わせます。情報流出や破壊を伴わないため発覚しにくい一方、PCの動作低下や電気代の高騰、クラウド環境では従量課金による莫大なコストという実害が発生します。

防衛側の視点：DNSログとプロキシログで感染を暴く

ここからは、SC試験の午後試験で最も問われる「どうやって感染を検知し、どうやって止めるか」に焦点を当てます。実務でもCSIRT（Computer Security Incident Response Team）やSOC（Security Operations Center）の活動の核心です。HTTPS通信の中身が見えなくても、通信のメタデータとDNSログを分析すれば、ボット特有の挙動をあぶり出せます。

DNSログの分析：DGA検知の実践

C&C対策でDNSログが決定的に重要なのは、プロキシを通さない通信でも「名前解決」の段階で痕跡が残るからです。DGA感染を見抜く代表的な指標は次の2つです。

• NXDOMAINの多発：DGAは多数のランダムドメインを生成しますが、その多くは攻撃者が未登録のドメインです。そのため感染端末は大量の「ドメインが見つかりません（NXDOMAIN）」応答を受け取ります。特定の端末からNXDOMAINが数百〜数千件規模で発生していれば、DGAマルウェアの感染を強く疑います。端末ごとのNXDOMAIN発生頻度を集計し、異常値を検出するのが定石です。
• ドメイン名のエントロピー（乱雑さ）：DGAドメインは人間が読んで意味の分かる単語ではなく、ランダムな文字列です。ドメイン名のエントロピー（情報量の乱雑さ）を計算すれば、通常のドメインとDGAドメインを統計的に区別できます。あわせて、正規アプリはDNS応答をキャッシュして再利用するのに対し、DGAマルウェアは次々と異なるドメインを問い合わせるため、短時間に大量のDNSクエリが発生する点も指標になります。

近年は機械学習を活用したDNS分析ツールが、これらの特徴を自動的に検出し、DGA感染の可能性が高い端末をアラート通知します。SCの午後問題でも、DNSログの中からDGA由来のランダムドメインやNXDOMAINの多発を根拠に「感染端末を特定する」流れが問われます。

プロキシログ・FWログの分析ポイント

HTTPS通信の中身が見えなくても、メタデータからボットの挙動を検出できます。着目すべき代表的なパターンは次の通りです。

• ビーコン通信（Beaconing）：ボットは指令を受け取るため定期的にC&Cへアクセスします。「正確に300秒おき」「多少のゆらぎ（ジッタ）はあるが平均1時間おき」に同一のIP/ドメインへ発生する通信を探します。深夜や休日などユーザー不在の時間帯にも続く通信は特に怪しく、ビーコン通信は規則的でデータサイズが小さい（数百バイト程度）のが特徴です。
• User-Agentの異常：正規ブラウザの文字列と微妙に異なる、極端に短い、空白のUser-Agentは、マルウェアによるプログラム通信の疑いがあります。ただし最近のマルウェアは正規のUser-Agentを偽装するため、これ単独では判断せず、通信パターンとの矛盾もあわせて見ます。
• ロングフローとアップロード超過：通常のWeb閲覧は「リクエスト（小）→レスポンス（大）」です。内部から外部への送信データ量が異常に多い通信は情報の持ち出し（エクスフィルトレーション）を疑い、数時間続くロングフローはC&Cとの常時接続トンネルの可能性があります。
• レアなドメインへのアクセス：社内で特定の1台だけがアクセスしているドメインを抽出し、それが「最近登録されたばかり（Newly Registered Domain）」やDGA的なランダム文字列であれば、悪性の確率が高まります。WHOISの登録日やVirusTotal等の脅威インテリジェンスで評判を確認します。.xyz・.top・.click などマルウェア配信に悪用されやすいTLDにも注意します。

DNSシンクホールによる封じ込めと無力化

検知した後の具体的な対策技術として、SCでも頻出のDNSシンクホール（DNS Sinkhole）を中心に解説します。これは、ボットの通信をネットワークの出口で遮断するのではなく、名前解決の段階で「嘘の住所」を教えることで無力化する、DNSを逆手に取った防御技術です。

DNSシンクホールの動作フロー

動作は次の流れです。まず、社内のDNSサーバー（または契約するセキュリティDNSサービス）に、既知のC&Cサーバーのドメインリスト（危険リスト）を登録しておきます。このリストは、セキュリティベンダーや脅威インテリジェンスから提供される最新情報を基に定期的に更新します。

感染したPCがC&Cサーバー（例：example.jp）の名前解決を要求すると、DNSサーバーは危険リストを照合します。該当した場合、DNSサーバーは本来のIPアドレスをインターネットに問い合わせる代わりに、管理者が用意した「シンクホールサーバー」のIPアドレス（例：192.0.2.100）を回答として返します。感染PCは攻撃者ではなくシンクホールサーバーへ接続を試み、シンクホールサーバーは通信を受け取っても攻撃指令を返しません。これによりボットは無力化されます。

DNSシンクホール最大の利点は、感染端末を「積極的に発見」できる点です。ファイアウォールで単に通信を遮断するだけでは、どの端末が感染しているかは分かりません。しかしシンクホールサーバーへのアクセスログ（接続元IPアドレス、タイムスタンプ、リクエストされたFQDNなど）を見れば、「どの端末が感染しているか」を即座に特定し、迅速な隔離・駆除につなげられます。

DNSシンクホールの限界（SC午後で問われる急所）

DNSシンクホールは万能ではありません。ここがSC試験で狙われる急所です。シンクホールは「DNS問い合わせが発生すること」を前提とした仕組みのため、マルウェアがドメインではなくIPアドレスを直接指定して通信する場合、名前解決が発生せず、シンクホールをすり抜けます。実際に令和3年秋 午後Ⅱ 問2では、UTMのDNSシンクホール機能を説明したうえで、その限界として「C&Cサーバーとの通信時にDNSへの問い合わせを実行しない場合があるから」という趣旨が問われています。

したがって実務では、DNSシンクホールを唯一の対策とせず、出口対策（プロキシ/ファイアウォールでのIP直接通信の制限）やエンドポイント対策と組み合わせる多層防御が前提になります。「学び始めの人」が陥りがちなのは、DNSシンクホールを入れれば安心と考えてしまうことですが、IP直打ちの通信という抜け道を必ずセットで押さえてください。

エンドポイント検知（EDR）とテイクダウン

ネットワークレベルの暗号化（HTTPS）や社外（テレワーク環境）での感染リスクを考えると、ネットワーク対策だけでは不十分です。PC自体（エンドポイント）で検知するEDR（Endpoint Detection and Response）は、「ファイルの中身」ではなく「挙動」を監視します。従来のアンチウイルスはシグネチャ（既知パターン）照合が中心で未知の亜種を取りこぼしますが、EDRはプロセス起動・ファイル変更・レジストリ操作・ネットワーク通信を記録し、「PowerShellが不審な外部通信を行う」「Wordを開いた直後に不審なプロセスが起動する」といった異常な振る舞いを検知して端末を論理的に隔離します。SIEM（Security Information and Event Management）と連携させ、フォレンジック（感染経路の追跡）にも活用します。

よりマクロには、セキュリティベンダーや法執行機関が協力してボットネットを撲滅するテイクダウン作戦があります。2021年1月、Europol・Eurojust主導の国際合同作戦（通称Operation Ladybird）により、世界最大級のボットネットEmotetのインフラが制圧されました。この作戦では約700台のC&Cサーバーを押収し、押収したサーバーへ通信を誘導するDNSシンクホール技術を用いて感染端末の通信を無害化しています。まさに本記事で解説したDNSシンクホールが、国家規模で実行された事例です。なおEmotetは2021年11月に別インフラ経由で活動を再開しており、テイクダウンが恒久的な解決ではないことも示しています。

なお、企業の一担当者が攻撃者へ反撃（ハッキングバック）することは、不正アクセス行為の禁止等に関する法律などで禁じられているため、あくまで自組織の防御に徹します。C&Cへの対応は、社内のセキュリティチーム、外部ベンダー、必要に応じて警察や専門機関へ報告・相談する枠組みで行います。

SC試験での出題パターンと対策

C&Cサーバーとボットネットは、SC試験の午前II・午後の両方で頻出です。出題の型を押さえておきましょう。

午前IIで問われる定番ポイント

午前IIでは、用語の定義がストレートに問われます。「ボットネットにおいてC&Cサーバーが果たす役割はどれか」という問いに対して、正解は「遠隔操作が可能なマルウェアに、情報収集や攻撃活動を指示する」という趣旨の選択肢です。IPAのシラバス（午前II追補版）でも、マルウェアの用語例として「ボット（ボットネット、遠隔操作型ウイルス、C&Cサーバー、コネクトバック通信）」が明記されています。あわせてDNSシンクホールは「危険リストのFQDNに対し、正規の名前解決を行わず、あらかじめ用意したIPアドレスを応答する」技術として整理しておきましょう。

午後で問われる実践力

午後では、ログを読ませて感染端末を特定させる問題が定番です。プロキシログのタイムスタンプとデータサイズからビーコン通信を見抜く、DNSログのNXDOMAIN多発からDGA感染を推定する、といった読解が求められます。前述の通りDNSシンクホールは令和3年秋 午後Ⅱ 問2で出題され、機能だけでなく「IP直接指定の通信には効かない」という限界まで問われました。単なる暗記ではなく、「攻撃者がなぜその技術を使うのか」「ログにどんな痕跡が残るのか」という因果を理解しているかが合否を分けます。

【演習】ボットネットとC&Cサーバー対策 理解度チェック（全10問）

SC試験では、午前IIでC&Cサーバー・DGA・DNSシンクホールの用語定義が、午後でDNSログやプロキシログを根拠に感染端末を特定させる読解問題が問われます。定番のひっかけは「DNSシンクホールはIP直接通信には効かない」「DGAはNXDOMAINを多発させる」「Fast Fluxで変わるのはAレコードのIP」といった、攻撃と防御の対応関係の取り違えです。以下の練習問題で本記事の理解度を確認してみましょう。

まとめ：DNSを制する者がボットネット対策を制する

ボットネットとC&Cサーバーは、現代のサイバー攻撃における「インフラ」であり、その攻防の主戦場はDNS（名前解決）にあります。押さえておくべきポイントを再確認します。

• C&Cサーバーは「攻撃者 → C&C → ボット → 標的」という通信フローの司令塔。攻撃者はコネクトバック通信でファイアウォールを回避し、内部から外部へ定期通信させる。
• 攻撃者はC&Cを落ちにくくするため、DGAでドメインを、Fast FluxでIPアドレスを隠す。いずれもDNSの仕組みを悪用している。
• 防御の起点はDNSログ。NXDOMAINの多発やドメインのエントロピーからDGA感染を、短いTTLと多数のIP応答からFast Fluxを見抜く。
• DNSシンクホールは偽のIPを応答して通信を無害化しつつ感染端末を特定できる強力な技術。ただしIP直接指定の通信には効かないため、EDRや出口対策との多層防御が必須。

筆者が新人研修でインフラを教えていた頃、DNSサーバーのログを「名前が引けたかどうか」だけで眺めてしまい、NXDOMAINの山を素通りしてしまう受講者は少なくありませんでした。しかしC&C対策の観点では、そのNXDOMAINの山こそが感染の第一報です。ご自身の学習環境や会社のネットワークでDNSログを見る権限があれば、一度「解決できなかったドメイン（NXDOMAIN）」を抽出してみてください。ランダムな英数字の羅列（例：xkwz91p.com）が大量に含まれていれば、DGAマルウェアの痕跡かもしれません。実データを見る経験が、教科書では学べない「違和感に気づく力」を養います。

本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。

参考資料

• IPA「情報処理安全確保支援士試験（レベル4）シラバス 追補版（午前II）」（https://www.ipa.go.jp/shiken/syllabus/gaiyou.html）
• IPA「情報処理安全確保支援士試験 令和3年度 秋期 午後II 問2」（https://www.ipa.go.jp/shiken/mondai-kaiotu/2021r03.html）
• Europol「World's most dangerous malware EMOTET disrupted through global action」（2021年1月）（https://www.europol.europa.eu/media-press/newsroom/news/world%E2%80%99s-most-dangerous-malware-emotet-disrupted-through-global-action）
• Cisco Talos「新マルウェアLONGLEASHおよびORB（LapDogs）ネットワークに関する報告」（2026年7月）（https://blog.talosintelligence.com/uat-7810/）