はじめに

C2（Command & Control）フレームワークにおいて、**Listener（待受通信方式）**は運用の成否を大きく左右する重要な要素である。
中でも HTTP / HTTPS Listener は、現在のレッドチーム運用において事実上の標準となっている。

本記事では、以下の観点から HTTP / HTTPS Listener を解説する。

なぜ HTTP / HTTPS が好まれるのか
Domain Fronting や Malleable C2 Profile との関係
NGFW（次世代ファイアウォール）視点での検知困難性
Metasploit における実装と実運用イメージ

HTTP / HTTPS Listener とは

HTTP / HTTPS Listener とは、
C2 サーバが Web サーバのように振る舞いながら、侵害済み端末（Agent）と通信する方式である。

見た目上は以下と区別がつかない。

一般的な Web API
SaaS の定期ポーリング通信
ブラウザやアプリのバックエンド通信

つまり、**C2 通信が「普通の Web 通信に偽装される」**ことが最大の特徴である。

なぜ HTTP / HTTPS が強いのか

① 企業ネットワークで“確実に許可されている”

多くの企業ネットワークでは：

HTTP（80/tcp）
HTTPS（443/tcp）

は 原則許可 されている。

これを遮断すると：

Web ブラウジング不可
SaaS 利用不可
業務停止

という事態になるため、防御側は簡単にブロックできない。

② HTTPS による完全な通信内容の秘匿

HTTPS Listener を使用した場合：

C2 指令
実行結果
ファイル送受信

これらはすべて TLS で暗号化 される。

NGFW や IDS/IPS から見えるのは：

接続先 IP / ドメイン
TLS ハンドシェイク情報
通信頻度・サイズ

のみであり、ペイロードの中身は不可視 となる。

③ Domain Fronting による「借り物の顔」

HTTP/HTTPS Listener は Domain Fronting と非常に相性が良い。

Domain Fronting とは：

表向きは CDN や大手サービスに通信しているように見せ、
内部的には別の C2 サーバへ転送させる技術

防御側からは：

SNI：cloudfront.net
証明書：正規 CDN

に見えるため、遮断が極めて難しい。

④ Malleable C2 Profile による高度な偽装

Malleable C2 Profile を利用することで、
HTTP 通信の“見た目”を自由にデザインできる。

例：

URI：/api/v2/status
User-Agent：Chrome / Edge
Header 順序
Cookie 名
Beacon 間隔（Jitter）
レスポンス JSON 構造

これにより、C2 通信は：

「どこにでもありそうな業務アプリ通信」

へと擬態する。

NGFW はなぜ HTTPS C2 を止めにくいのか

NGFW の機能	HTTPS C2 に対する現実
DPI（中身解析）	❌ TLS により不可
ルールマッチ	IP / SNI 程度
TLS 復号	全通信は非現実的
振る舞い検知	高コスト・誤検知多

結果として：

HTTPS C2 は「見えているが、止めにくい」通信

となる。

Metasploit における HTTP / HTTPS Listener

Metasploit は HTTP/HTTPS C2 の実装が非常に成熟している。

代表的な機能：

reverse_http / reverse_https
exploit/multi/handler
SSL 証明書指定
カスタム URI
Proxy / Redirector 構成対応

実運用では：

[ Agent ]
    ↓ HTTPS
[ CDN / Redirector (Apache/Nginx) ]
    ↓ 内部転送
[ Metasploit Handler ]

という 多段構成 が一般的である。

レッドチーム視点でのまとめ

HTTP / HTTPS Listener は：

技術的に最も派手ではない
だが 現実世界で最も止められにくい

通信方式である。

「普通すぎる」ことが最大の強み

これが、ほぼすべてのモダン C2 フレームワークが
HTTP / HTTPS を主軸に据えている理由である。

ブルーチーム視点の対抗策（補足）

完全に防ぐことは難しいが、以下は有効である。

JA3 / JA4 による TLS 指紋分析
Beacon 間隔の異常検知
新規ドメイン・低評価ドメイン監視
Egress 制御（誰がどこへ出られるか）

おわりに

HTTP / HTTPS C2 は、
インターネットそのものに溶け込む攻撃通信である。

防御・攻撃いずれの立場でも、
この通信方式の理解は避けて通れない。