명령제어서버 (Command-and-Control Server)
쉽게 풀면
명령제어서버는 조종당하는 감염 기기들이 지시를 받으러 접속하는 일종의 사령부라고 할 수 있습니다. 감염된 컴퓨터는 주기적으로 이 서버에 접속해 "다음에 무엇을 할지" 지시를 받아옵니다. 마치 리모컨 신호를 보내는 송신소처럼, 공격자는 이 서버를 통해 흩어져 있는 감염 기기들을 동시에 통제할 수 있습니다. 이 서버를 찾아 차단하면 공격자의 통제력을 크게 약화시킬 수 있습니다.
왜 중요한가
명령제어서버는 봇넷이나 APT 공격의 핵심 인프라이기 때문에, 이를 탐지하고 차단하는 것은 사이버 공격 대응의 중요한 축을 이룹니다. 정보보안 연구에서는 C&C 통신의 트래픽 패턴이나 도메인 특성을 분석해 조기에 식별하는 방법을 다루며, 이는 침해사고 대응 실무에서도 핵심적으로 활용됩니다.
논문에서는 이렇게 쓰입니다
악성코드가 어떤 방식으로 C&C 서버와 통신하는지 규명하는 연구 사례입니다.
공격자가 탐지를 피하기 위해 자동 생성하는 C&C 도메인을 식별하는 연구입니다.
조금 더 깊게 보면
C&C 서버 구조는 단일 서버에 모든 감염 기기가 접속하는 중앙집중형과, 감염 기기끼리 서로 연결되는 P2P형으로 구분할 수 있습니다. 최근에는 탐지를 회피하기 위해 정상 클라우드 서비스나 소셜미디어 플랫폼을 통신 채널로 위장하는 사례도 연구되고 있습니다. 방어 측에서는 통신 주기, 목적지 IP·도메인 평판, 트래픽 크기 등을 지표로 삼아 탐지 모델을 구성합니다.
주의할 점
C&C 서버 하나를 차단한다고 해서 봇넷 전체가 즉시 무력화되는 것은 아니며, 공격자가 예비 서버나 대체 통신 경로를 마련해두는 경우가 많습니다. 정상 트래픽과 유사하게 위장된 통신은 단순 규칙 기반 탐지만으로는 놓치기 쉽습니다.