前提

コネクトバック通信とは、内部ネットワークの端末が主体的に外部サーバーに接続する手法を一般的に表すものですが、この記事では特にサイバー攻撃を目的として行われるコネクトバック通信について書いています。

コネクトバック通信とは？

サイバー攻撃を目的として行われるコネクトバック通信（Reverse Connection / Reverse Shell）は、マルウェアなどに感染した内部ネットワークにある端末（被害者のPCなど）から、攻撃者のサーバーに対して接続を行う通信手法です。

通常、外部から内部ネットワークのマシンに直接接続すること（インバウンド通信）は、ファイアウォール（FW）やネットワーク設定によってブロックされます。
しかし、コネクトバック通信を利用すると、内部から外部への通信（アウトバンド通信）を経由して、攻撃者が内部マシンを遠隔操作できるようになります。

企業や個人のネットワークでは、FWが以下のようなルールで動作することが多いです。

内部から外部への通信（アウトバウンド通信）は許可
外部から内部への通信（インバウンド通信）は制限またはブロック

例えば：

これは、外部からの不正アクセスを防ぐための基本的なセキュリティ対策です。
※ 内部から外部への通信を許可する理由は、Web、メール、クラウドといった業務上必要となる外部との通信があるため

攻撃者がマルウェアに感染した内部ネットワーク内のマシンを遠隔操作したい場合、上記のようなFWの設定があると外部から直接アクセスできないため、SSHなどによる通常のリモート接続は使えません。

そこで、「感染した内部マシンが自ら攻撃者のサーバーに接続する」 ことで、FWのルールを回避します。

これがコネクトバック通信です。

このような攻撃を防ぐためには、以下のような対策が有効のようです。

応用情報技術者試験の学習をしていて、コネクトバック通信に関する問題が出題されました。FWなどネットワークに関する知識があまりなく、コネクトバック通信を使うことでFWをすり抜けられる理屈を知りたくて調べてみました。
最後まで読んでくださりありがとうございました。