ビーコン通信とは

📅 最終更新：2026年8月13日

【読み方】

ビーコンつうしん

【英語表記】
Beacon Communication / Beaconing
（ビーコン・コミュニケーション／ビーコニング）

【一般的な意味】

“ビーコン通信（Beacon Communication / Beaconing）”とは、端末やソフトウェアなどが、自身の存在や状態を知らせたり、接続先から情報や指示を受け取ったりするために行う通信を指します。

Beaconには英語で「信号」「標識」「目印」といった意味があります。

IT分野でも…

「ここにいます」
「現在も動作しています」

…という情報を相手へ知らせるような通信を「ビーコン」と表現することがあります。

ビーコン通信そのものが、不正な通信というわけではありません。

正規の機器やソフトウェアでも、状態確認やサービスとの接続維持などを目的として、一定の通信を行うことがあります。

サイバーセキュリティでいう「ビーコン」

サイバーセキュリティの分野では、マルウェアに感染した端末などが外部のC2（Command and Control）サーバーへ定期的に接続する通信を「ビーコン通信」または「ビーコニング」と呼ぶことがあります。

たとえば感染端末が、

感染端末

「まだ稼働しています」

↓

C2サーバー

「待機」

↓

一定時間後

↓

感染端末

「新しい命令はありますか？」

というように外部へ通信するイメージです。

攻撃者は、この通信を利用して感染端末の存在を確認したり、追加の命令を送ったりする場合があります。

なぜ定期的に通信するのか

攻撃者側のサーバーから、企業や家庭のネットワーク内部に存在する感染端末へ直接接続することは、ファイアウォールやNATなどによって困難な場合があります。

そこで感染端末側から外部へ通信し、「命令がないか確認する」という方式が使われることがあります。

外部向け通信は、Web閲覧やクラウドサービスなどでも日常的に発生しています。

そのため攻撃者がHTTPやHTTPS、DNSなど一般的に利用される通信へC2通信を紛れ込ませようとする場合もあります。

周期性が手掛かりになる

ビーコン通信を検出するときの手掛かりの一つが周期性です。

たとえば、ある端末が、

60秒ごと

5分ごと

30分ごと

など、一定の間隔で同じ通信先へ接続している場合があります。

人間によるWeb閲覧などは通信間隔が不規則になりやすいため、非常に規則的な外部通信が長時間続いていれば、調査する手掛かりになります。

ただし、「一定間隔で通信している＝マルウェア」ではありません。

正規の監視ソフトウェアやクラウドサービスなども定期通信を行うためです。

ジッターとは

攻撃者側も、完全に一定間隔の通信が検知の手掛かりになることを理解しています。

そこでビーコンの通信間隔を意図的に少しずつ変化させることがあります。

このような時間的な揺らぎは、一般に“Jitter（ジッター）”と呼ばれます。

たとえば、60秒 → 54秒 → 67秒 → 58秒 → 63秒のように通信間隔を変えることで、単純な周期検知を難しくしようとします。

そのため実際の分析では、完全に一定の周期だけを見るのではなく、

通信先
通信頻度
通信量
利用プロトコル
通信時間帯

…などを組み合わせて判断します。

ハートビート通信との違い

ハートビート通信とビーコン通信は、どちらも定期的な通信として観測されることがあります。

しかし、言葉が使われる文脈には違いがあります。

ハートビート通信
主に機器やサービスが正常に稼働していることや、接続状態を確認するための通信。

ビーコン通信
広くは存在や状態を知らせる通信を指しますが、サイバーセキュリティでは特に、感染端末などがC2サーバーへ周期的に接続する通信を指して使われることがあります。

つまり、「周期的だからビーコン」「周期的だからハートビート」と通信間隔だけで分類するのではなく、その通信の目的と相手を見ることが重要です。

【ネット探検ラボでは】

ネット探検ラボでは、ビーコン通信を分析するとき、「一定間隔で通信している」という一点だけで不正通信と判断しないことを重視します。

まず確認したいのは…

どの端末が通信しているのか
通信先はどこなのか
どのプロトコルを利用しているのか
通信間隔に規則性があるのか
通信量はどの程度なのか
その通信を機器本来の機能で説明できるのか

…という点です。

たとえばドローンやIoT機器から一定間隔の外部通信が観測されたとしても、それだけで不正なビーコン通信とは判断できません。

メーカーのクラウドサービスとの状態確認など、正常な通信である可能性もあります。

一方で、本来必要のない外部サーバーへ、少量の通信が長期間繰り返されているのであれば、詳しく調べる価値があります。

これはマルウェア調査でも同じです。

派手な大容量通信だけが侵害の痕跡とは限りません。

攻撃者が感染端末との接続を維持するために送る小さなビーコン通信が、ネットワークログに残された重要な手掛かりになる場合があります。

ネット探検ラボでは、「通信量の大きさだけではなく、通信の規則性と、その通信が存在する理由を見る」ことを重視します。

ビーコン通信は、ネットワーク上の小さな「点」の繰り返しから、その背後にある機器やソフトウェアの動きを読み解くための重要な概念です。