T1071.005: 发布/订阅协议

摘要

攻击者可能使用发布/订阅(pub/sub)应用层协议进行通信，通过与现有流量混合来避免检测/网络过滤。发往远程系统的命令，以及这些命令的结果，通常会嵌入客户端与服务器之间的协议流量中。 诸如 <code>MQTT</code>、<code>XMPP</code>、<code>AMQP</code> 和 <code>STOMP</code> 之类的协议采用发布/订阅设计，消息分发由集中式代理管理。(Citation: wailing crab sub/pub)(Citation: Mandiant APT1 Appendix)发布者按主题对其消息进行分类，而订阅者根据其订阅的主题接收消息。(Citation: wailing crab sub/pub)攻击者可能滥用发布/订阅协议，从消息代理后面与受其控制的系统通信，同时模仿正常、预期的流量。