对手可以为在不同条件下或特定功能下使用的命令和控制创建多个阶段。使用多个阶段的手法可能会混淆命令和控制通道，使检测更加困难。

       远程访问工具可以回调到第一阶段命令，并控制服务器以获取指令。第一阶段可能具有自动收集基本主机信息、更新工具和上传附加文件的功能。此时，可以上传第二个远程访问工具(RAT)，将主机重定向到第二阶段命令和控制服务器。第二阶段可能会有更全面的功能，并允许对手通过反向shell和额外的RAT功能与系统交互。 

        不同的阶段可能会被没有重叠的基础设施分开托管。加载程序还可能有备份的第一阶段回调或回调通道，以备最初的第一阶段通信路径被发现并锁定。

完整列表请戳“阅读原文”

       使用网络连接可以关联未知或可疑进程活动的主机数据，对于补充任意基于恶意软件命令和控制签名以及基础设施的现有攻击指标非常重要。将可能由于发现系统和网络信息或横向移动而导致的后续操作与原始过程相关联，也可以产生有用的数据，以便检测。

**参考来源：ATT&CK，胖头鱼编译，欢迎转载，转载请注明出处，非常感谢~~