多跳代理

为了隐藏恶意流量的来源，攻击者可能会将多个代理连接在一起。通常，防御者能够识别在进入他们的网络之前通过的最后一个代理流量；但他们可能无法识别在最后一跳之前的其他代理。这种技术使识别恶意流量的原始来源变得更加困难，因为它要求防御者通过多个代理跟踪恶意流量以识别其来源。

缓解

可以通过使用网络黑白名单来拦截已知的匿名网络和 C2 基础设施的流量。
注意，这种拦截可以通过域前置等其他技术来规避。

检测

在观察多跳代理的使用时，来自实际命令与控制服务器的网络数据可能能够将传入和传出流关联起来，从而跟踪恶意流量找到其源。
还可以警惕使用此技术的已知匿名网络（如 Tor) 或已知攻击者基础设施的流量以检测多跳代理。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn