标准密码协议

攻击者可以明确地使用已知的加密算法来隐藏命令与控制流量，而不是依赖于通信协议提供的任何固有保护。尽管使用了安全算法，但如果必需的密钥是在恶意软件样本/配置文件中编码和/或生成的，那么这些实现可能容易被逆向出来。

缓解

使用网络签名来识别特定恶意软件的流量的网络入侵检测和防御系统可减少网络级活动。
由于签名流量能力的简化，使用加密协议可能会使典型的基于网络的 C2 检测更加困难。
提前了解攻击者 C2 基础设施可能对拦截域和 IP 地址有用，但一般不是有效的长期解决方案，因为攻击者经常会改变基础设施。

检测

SSL/TLS 检查可以检测某些加密通信信道中的命令与控制流量。
SSL/TLS 检查会伴随着某些风险，在实施之前应该考虑这些风险以避免潜在的安全问题，例如不完整的证书验证。

如果恶意软件使用带有对称密钥的加密，则可以从样本中获取算法和密钥，并使用它们来解码网络流量以检测恶意软件通信签名。

通常，分析网络数据以查找不常见的数据流（例如，客户端发送的数据远多于从服务器接收的数据）。
利用通常没有网络通信或以前从未见过的网络的进程是可疑的。
分析数据包内容以检测不遵循正在使用的端口的预期协议行为的通信。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn