Canal de commande chiffré (encrypted C2 channel)

Définition

Le canal de commande chiffré désigne le mécanisme de communication établi entre un implant déployé sur un système compromis et son infrastructure de commande et contrôle, protégé par un chiffrement empêchant l'inspection directe du contenu échangé par les dispositifs de sécurité réseau positionnés entre les deux extrémités. La quasi-totalité des frameworks de commande et contrôle modernes chiffrent nativement leurs communications, le plus souvent en s'appuyant sur TLS pour se fondre dans le volume massif de trafic web chiffré légitime transitant quotidiennement sur le réseau d'une organisation, rendant l'inspection de contenu classique inopérante sans déchiffrement TLS explicite mis en œuvre côté défense. Le chiffrement protège le contenu des communications, mais ne masque pas nécessairement les métadonnées observables du trafic : volume, fréquence, régularité temporelle des échanges, taille des paquets et destination, autant d'éléments exploitables pour une détection comportementale même sans accès au contenu déchiffré. Pour les équipes défensives, la détection s'appuie principalement sur l'analyse de ces métadonnées via des solutions de détection réseau, en recherchant des motifs de balisage régulier caractéristiques d'un canal de commande, la corrélation avec des indicateurs de réputation des destinations contactées, et le déploiement sélectif d'une inspection TLS en coupure sur les segments les plus sensibles du réseau, avec les précautions de confidentialité et de conformité que cela implique.