远程控制(command&control, C2)---常用端口，非常用端口

攻击者经常使用这些端口，将攻击混迹于正常通信行为中，来绕过防火墙或检测软件：

• TCP HTTP： 80
• TCP HTTPS：443
• TCP SMTP：25
• TCP/UDP DNS：53

内部网络通信常用协议：
TCP/UDP RPC：135
TCP/UDP SSH：22
TCP/UDP RDP：3389

防御

在网路级的预防上可以使用基于网络流量签名的网络入侵检测和防御系统，针对一些特定的恶意软件是有效的。签名通常是唯一的协议指示符，可以基于特定攻击者或工具所使用的特定协议，不同的恶意软件家族或版本之间的签名可能各不相同。

攻击者可能时常改变工具的C2签名，或者是改变协议的构建以避免被常见的检测工具发现。

检测

分析不常见的网络数据（如，客户端发送的数据明显多于接收到的数据）。关注不常见的应用利用网络的方式以及可疑的通信。分析数据包的内容以检测端口上不遵循正常协议应有行为的通信。

非常用端口

攻击者可能使用非常用端口进行远控通信，可以钻未正确配置的代理或防火墙的检测漏洞。