Command and Control, o C&C, è il canale di comunicazione che gli attaccanti usano per gestire i sistemi compromessi. Dopo che un malware infetta un dispositivo, spesso "chiama casa" per ricevere istruzioni, scaricare altri payload, aggiornare le impostazioni o rimandare indietro i dati rubati. Il C&C può essere eseguito da server controllati dall'attaccante, ma può anche nascondersi all'interno di piattaforme legittime come app di messaggistica, servizi cloud o traffico DNS, per confondersi con la normale attività di rete.
Il C&C è importante perché trasforma una singola infezione in un punto d'appoggio gestito da remoto. Se i difensori riescono a identificare e interrompere il canale, spesso possono limitare ciò che il malware può fare anche prima che l'host sia completamente ripulito. In pratica, gli analisti cercano connessioni in uscita insolite, beaconing ripetuto, uso inatteso di API web, comportamenti anomali dei processi e dati in uscita dagli endpoint che non dovrebbero comunicare in quel modo. Bloccare l'infrastruttura C&C nota, monitorare la telemetria degli endpoint e cercare modelli di polling anomali sono difese comuni.