T1572: 协议隧道

摘要

攻击者可能将进出受害者系统的网络通信隧道到另一个协议中，以避免检测/网络过滤和/或实现对原本无法访问的系统的访问。隧道涉及显式地将一个协议封装在另一个协议中。此行为可以通过混入现有流量来隐藏恶意流量，和/或提供外层加密（类似于 VPN）。隧道还可以使原本无法到达预期目的地的网络数据包得以路由，例如 SMB、RDP 或其他会被网络设备过滤或无法通过 Internet 路由的流量。 有多种方法可以将一个协议封装在另一个协议中。例如，攻击者可能执行 SSH 隧道（也称为 SSH 端口转发），它涉及通过加密的 SSH 隧道转发任意数据。(Citation: SSH Tunneling)(Citation: Sygnia Abyss Locker 2025) [协议隧道](https://attack.mitre.org/techniques/T1572)也可能在[动态解析](https://attack.mitre.org/techniques/T1568)期间被攻击者滥用。这称为 DNS over HTTPS（DoH），用于解析 C2 基础设施的查询可能被封装在加密的 HTTPS 数据包中。(Citation: BleepingComp Godlua JUL19) 攻击者还可能将[协议隧道](https://attack.mitre.org/techniques/T1572)与[代理](https://attack.mitre.org/techniques/T1090)和/或[协议或服务冒充](https://attack.mitre.org/techniques/T1001/003)结合使用，以进一步隐藏 C2 通信和基础设施。