Day28 ATT&CK for ICS - Command and Control

Command and Control

攻击者已经进入工控环境之後，从自己的服务器传送指令给受害主机，如下指令打包受害主机的资料传到攻击者的服务器。

T0885 Commonly Used Port

攻击者透过常见的 port 执行指令，为了绕过工控环境内部的防火墙，让自己传送的封包如同正当的传输封包。

T0884 Connection Proxy

攻击者透过代理服务器作为网路传输的媒介， proxy 可能有多层的连接，在传输过程可以减少绕出对外网路的次数。

T0869 Standard Application Layer Protocol

攻击者透过常见的应用层协定: HTTP(S)、OPC、RDP、telnet、DNP3、modbus，有些恶意软件透过 HTTP 传送封包跟攻击者的服务器进行沟通。