C2vsLateral Movement

C2

C2 是攻击者与被入侵主机之间的通信通道，用于下发指令、窃取数据和维持持久化访问。Cobalt Strike 是最知名的 C2 框架，被红队和真实攻击者广泛使用。

Lateral Movement

横向移动是 APT 攻击的核心阶段：攻击者获取一台主机权限后，利用凭据、协议漏洞或信任关系在内网中扩散，最终到达高价值目标。

C2

• C2 通信常伪装成正常 HTTP/DNS 流量
• Cobalt Strike 是最流行的商业 C2 框架
• 检测 C2 通信是防御方的核心任务

Lateral Movement

• APT 攻击的核心阶段
• 利用凭据和信任关系在内网扩散
• Pass the Hash 和 RDP 是常见手法

C2

攻击者用于远程控制被入侵主机、下发指令和回传数据的通信基础设施

Lateral Movement

攻击者在已入侵的网络中从一台主机移动到其他主机的技术集合

C2

• 红队演练的攻击基础设施
• 恶意软件分析中的通信追踪
• 网络威胁检测和响应

Lateral Movement

• APT 攻击的内网渗透阶段
• 红队演练的横向扩展
• 内网安全架构的验证

C2

C2 基础设施是高级攻击的核心组件，攻击者通过它远程控制被植入后门的主机（Bot）。现代 C2 框架支持多种通信协议（HTTP、DNS、SMB）和加密方式来规避检测。防御方需要通过网络流量分析、行为检测和威胁情报来识别 C2 通信。C2 的演进趋势包括：使用合法云服务作为中转、域前置（Domain Fronting）隐藏真实 C2 地址、以及去中心化 C2 架构。

Lateral Movement

横向移动技术包括：Pass the Hash（传递哈希）、Pass the Ticket（Kerberos 票据传递）、RDP 远程桌面、PsExec 远程执行、WMI 远程管理。攻击者通常先用 Mimikatz 提取凭据，再用这些凭据访问其他主机。防御横向移动需要网络分段、最小权限、凭据保护和异常行为检测。