【入門編】非標準ポートを用いたC2通信のポート非依存型アプリケーション識別 – サイバーセキュリティとプライバシー保護実践ガイド

ネットワークの「裏口」を見抜け！非標準ポートに隠れる脅威とDPIの魔法

こんにちは！日々のネットワーク運用、本当にお疲れ様です。
「今日は平穏無事だな」と思っているその瞬間も、ネットワークの海には怪しいパケットが漂っているかもしれません。

特に、最近のマルウェアは非常に「狡猾」です。かつては、Web通信なら 80 や 443 といった「決まった扉」を使うのが当たり前でした。しかし、今の攻撃者は違います。まるで隠し扉を探すスパイのように、あえて 8080 や 12345 といった「普段は誰も使わないようなポート」を使い、こっそりと外部の司令塔（C2サーバー）と通信しようとします。

今日は、そんな「ポートを偽装した通信」をどうやって見破るか、DPI（Deep Packet Inspection：深層パケット検査）という強力な武器を使って解説していきます。一歩ずつ、郵便配達の仕組みに例えて紐解いていきましょう！

—

1. 郵便配達で例える「ポート」と「中身」

ネットワークの世界を「郵便」に例えてみましょう。

ポート番号：これは「住所の部屋番号」です。例えば「80番の部屋はWeb閲覧用」「25番の部屋はメール用」と、みんながルールを決めて使っています。
パケット：これは「封筒」です。

本来、80番の部屋に届く封筒には「Webサイトの情報」が入っているはずですよね。でも、もし悪い奴が、中身は「怪しい命令書」なのに、封筒の表にわざと「Web閲覧用ですよ」と書いて送ってきたらどうなるでしょう？

ファイアウォールくんは、表書き（ポート番号）だけを見て「おっ、これはWeb通信か。よし、通せ！」と騙されてしまいます。これが、非標準ポートやポート偽装を使った通信の正体です。

—

2. DPI（深層パケット検査）という「検閲官」

ここで登場するのが DPI（Deep Packet Inspection） です。
DPIは単に「どの部屋宛てか」を見るだけでなく、「封筒をこっそり開けて、中身まで確認する検閲官」のような存在です。

たとえ宛先が 12345 という怪しいポートであっても、DPIは「中身を見てごらん……おや、これはWeb通信のふりをした、外部への命令データだ！」と見抜くことができます。これが「プロトコル種別単位での識別」という技術の肝になります。

—

3. 実践！次世代ファイアウォールでの識別設定

では、実際にインフラの現場でこれをどう防御するか。
多くの次世代ファイアウォール（NGFW）では、シグネチャ（通信の指紋）を使って通信を識別します。例えば、Palo Alto Networks や Fortinet のような製品では、以下のような考え方で設定を行います。

識別設定の考え方（例：アプリケーション制御）

「ポート番号だけで判断せず、通信の振る舞い（シグネチャ）でアプリを特定せよ」というポリシーを書くイメージです。

# （概念的な設定例）
# デフォルトではWeb以外の通信を遮断するポリシー
set policy name "Block_Suspicious_C2"
set from "Internal_Network"
set to "External_Internet"
# 通信の種類（アプリケーション）を特定する
set application "web-browsing"
# 許可するポートを明示的に指定（それ以外は弾く）
set service "tcp/80, tcp/443"
set action "permit"

# 最後に、それ以外の「中身が何かわからない通信」はすべて遮断！
set action "deny"

このように、「80や443以外を通さない」というホワイトリスト運用と、DPIによる「中身がweb-browsingの通信かどうか」のダブルチェックが、現代の防御の基本です。

—

4. なぜ「ポート番号」を信じてはいけないのか？

初学者の皆さんが一番覚えておいてほしいのは、「ネットワーク機器の『ポート番号』という表記は、あくまでラベルに過ぎない」ということです。

攻撃者は、わざと 80 番ポートでSSH通信をしたり、443 番ポートでマルウェアの通信を隠したりします。これを「プロトコルのトンネリング」と呼びます。

現場で見るべきチェックポイント

1. トラフィックの統計を見る: 「普段80番でしか通信しないはずのPCが、なぜか5000番ポートで大量にデータをやり取りしている」といった異常値に気づくこと。
2. DPIのログを確認する: 接続先が「Unknown」や「不審なドメイン」ではないか、アプリケーション名が期待したものと一致しているかを確認しましょう。

—

まとめ：ネットワークを「監視」する視点を持とう

今日のまとめです！

ポート番号は「偽装可能」: 封筒の宛名だけで判断してはいけません。
DPIは「中身」を見る: 通信の「文法（プロトコル）」を解析し、本当は何をしているのかを見破ります。
ゼロトラストの第一歩: 「すべての通信は疑わしい」という前提で、ポートではなくアプリケーション単位で通信を制御しましょう。

インフラエンジニアの仕事は、地図を作るようなものです。どこにどんな道があり、誰が通っているのか。その「流れ」を深く理解すれば、怪しい通信はすぐに違和感として浮かび上がってくるはずです。

最初は難しく感じるかもしれませんが、パケットを観察し続けるうちに、必ず「あ、これはいつもの通信とリズムが違うな」と直感的にわかるようになります。一緒に、強固なネットワークを作っていきましょう！

それでは、また次回の技術解説でお会いしましょう！