T1071.001: Web 协议

摘要

攻击者可能使用与 Web 流量相关的应用层协议进行通信，通过与现有流量混合来避免检测/网络过滤。发往远程系统的命令，以及这些命令的结果，通常会嵌入客户端与服务器之间的协议流量中。 诸如 HTTP/S(Citation: CrowdStrike Putter Panda)和 WebSocket(Citation: Brazking-Websockets)之类的承载 Web 流量的协议在环境中可能非常常见。HTTP/S 数据包有许多字段和标头，可以在其中隐藏数据。攻击者可能滥用这些协议与受害者网络中受其控制的系统通信，同时模仿正常、预期的流量。