T1071: 应用层协议

摘要

攻击者可能使用 OSI 应用层协议进行通信，通过与现有流量混合来避免检测/网络过滤。发往远程系统的命令，以及这些命令的结果，通常会嵌入客户端与服务器之间的协议流量中。 攻击者可能利用许多不同的协议，包括用于网页浏览、文件传输、电子邮件、DNS 或发布/订阅的协议。对于在隔离区内部发生的连接(例如代理或枢轴节点与其他节点之间的连接)，常用的协议是 SMB、SSH 或 RDP。(Citation: Mandiant APT29 Eye Spy Email Nov 22)