セキュリティテスト

Cobalt Strike こばるとすとらいく

ペネトレーションテストC2フレームワークBeaconレッドチームマルウェアAPT攻撃

Cobalt Strikeって何？よく名前を聞くけど危ないやつ？

簡単に言うとこんな感じ！

本来は「プロのセキュリティ担当者がシステムの弱点を見つけるための合法的なツール」なんだ。でも、鍵師の道具が泥棒に使われるように、サイバー犯罪者にも悪用されているから「危険な名前」として報道されることが多いよ！

Cobalt Strikeとは

Cobalt Strike（コバルトストライク）は、セキュリティ企業 Fortra（旧 HelpSystems）が販売している商用ペネトレーションテスト（侵入テスト）フレームワークです。企業や組織が「攻撃者の視点で自社システムを試し、脆弱性を事前に洗い出す」ことを目的として設計されており、セキュリティ専門家が正規ライセンスを取得して使用するプロ向けツールです。

最大の特徴は、C2（Command and Control：指令制御）インフラを簡単に構築できる点です。C2とは、攻撃者がターゲットのマシンに潜伏したプログラム（エージェント）を遠隔操作するための仕組みのことです。Cobalt Strikeでは「Beacon（ビーコン）」と呼ばれるエージェントを使い、感染マシンへのコマンド送信・ファイル操作・横断的侵害（ネットワーク内の別マシンへの移動）などを再現できます。

しかし現実には、正規ライセンスを入手した悪意ある第三者や、クラック版（不正コピー）を手に入れた攻撃者グループによる悪用事例が後を絶ちません。ランサムウェア攻撃やAPT（国家支援型高度持続的脅威）グループの活動でも頻繁にCobalt Strikeのインフラが検出されており、セキュリティインシデントの文脈で名前が挙がることが多い理由はここにあります。

Cobalt Strikeの主要コンポーネント

コンポーネント	役割
Team Server	C2サーバー。攻撃者（テスター）が操作する司令塔
Cobalt Strike Client	GUIクライアント。Team Serverに接続して操作を行う
Beacon	ターゲットマシンに展開するエージェント。定期的にTeam Serverへ通信し命令を受け取る
Listener	BeaconとTeam Serverの通信を受け付けるエンドポイント設定
Malleable C2 Profile	C2通信のパターンをカスタマイズする設定ファイル。正規通信に偽装するために使われる
Aggressor Script	ツールの動作を自動化・拡張するスクリプト機能

Beaconの動作モード

Beaconには通信方式の異なる2種類があります：

HTTP/HTTPS Beacon：Webリクエストに偽装してC2と通信。ファイアウォールを通過しやすい
DNS Beacon：DNS（名前解決）の仕組みを悪用して通信。より検知されにくいとされる
SMB Beacon：内部ネットワーク内のマシン間通信（ファイル共有プロトコル）を使う横断移動向け

Malleable C2 Profileとは

Cobalt Strikeが特に危険視される理由のひとつがこの機能です。通信パターンを自由にカスタマイズでき、たとえば「Amazon CloudFrontへのアクセスに見せかける」「Google Analyticsのビーコンに偽装する」といった設定が可能です。これにより、セキュリティ製品による検知を大幅に困難にできます。

歴史と背景

2012年：セキュリティ研究者 Raphael Mudge が「Advanced Threat Tactics」（高度脅威戦術）を再現するツールとして開発・リリース。前身ツール「Armitage」のコンセプトを引き継いだ
2013年頃：Red Team（攻撃者役）オペレーションの標準ツールとして普及。企業のセキュリティ演習で広く使われるようになる
2017〜2018年頃：クラック版（不正コピー）がサイバー犯罪フォーラムで出回り始める。正規ツールのはずが攻撃者のインフラに検出されるケースが急増
2020年：APT29（ロシア系とされる国家支援型ハッカーグループ）がSolarWinds攻撃でCobalt Strike Beaconを使用していたことが判明。世界的に注目される
2021年：HelpSystemsがFortraへ社名変更。ライセンス管理や不正利用対策を強化すると発表
2022〜現在：Fortraが不正コピーの無効化や検知連携を進めるも、クラック版の流通は依然として続いている。ランサムウェアグループ（LockBit、Conti等）による悪用が多数報告される

正規利用と悪用の構図

Cobalt Strikeはツールとしては「鍵師の道具」と同じで、使う人の目的次第で全く異なる意味を持ちます。

競合・類似ツールとの比較

ツール名	種別	特徴
Cobalt Strike	商用	高機能C2・Beacon・豊富なエクスプロイト機能。プロ向け
Metasploit Framework	オープンソース	最も普及した侵入テストFW。脆弱性DB連携が強力
Sliver	オープンソース	Cobalt Strikeの代替として注目。Go製・多機能C2
Brute Ratel C4	商用	EDR回避に特化した後発ツール。Cobalt Strike類似
Empire	オープンソース	PowerShell/Python製。教育用途でも使われる

企業として知っておくべきこと

インシデント報告やニュースでCobalt Strikeの名前が出てくるとき、それは「正規ツールが悪用された」ことを意味します。実際のビジネス場面では、以下の2つのシナリオで接触することが多いです。

① 外部セキュリティ会社に侵入テストを依頼する場合

セキュリティ会社がCobalt Strikeを使って自社システムをテストするケースは正常です。契約書に「使用ツール・スコープ・免責事項」が明記されているか必ず確認しましょう。

② インシデント対応でCobalt Strike Beaconが検出された場合

これは深刻な侵害サインです。攻撃者がすでにネットワーク内に潜伏しており、C2サーバーと通信している状態を示します。即座にセキュリティベンダーや専門機関（JPCERT/CCなど）に連絡することが求められます。