多频带通信

一些攻击者会对不同协议之间的通信进行切分。通信时可以有一个用于入站命令与控制的协议，和一个允许出站数据绕过某些防火墙限制的协议。也可以随机切分通信来简单避免通信时的数据阈值告警。

缓解

使用网络签名来识别特定恶意软件的流量的网络入侵检测和防御系统可减少网络级活动。
签名通常用于协议内的唯一指示器，可能基于特定的攻击者或工具使用的特定协议，并且可能在不同的恶意软件系列和版本之间不同。
攻击者可能会随着时间的推移修改工具命令与控制签名，或者以这种方式构造协议以规避常见的防御工具的检测。

检测

分析不常见数据流的网络数据（例如，客户端发送的数据远多于从服务器接收的数据）。
利用通常没有网络通信或以前从未见过的网络的进程是可疑的。
分析数据包内容以检测不遵循所使用端口的预期协议行为的通信。
在多个通信信道之间关联告警可以进一步帮助识别命令与控制行为。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn