L'abuso del protocollo a livello applicativo consiste nell'uso del normale traffico web, DNS, email o API SaaS per trasportare comandi, dati o callback malevoli. Invece di aprire una porta insolita o usare un protocollo personalizzato, un attaccante si nasconde all'interno di richieste dall'aspetto legittimo come post HTTP, query DNS o chiamate API di Microsoft Graph. Il traffico può essere un uso reale del protocollo, ma l'intento è occulto.
Questo è importante perché gli strumenti di sicurezza spesso si fidano del traffico applicativo comune più che delle anomalie di rete grezze. L'abuso può confondersi con l'attività aziendale normale, soprattutto nei servizi cloud in cui calendari, email, file e oggetti di identità vengono accessi regolarmente. In difesa, gli analisti cercano autorizzazioni API insolite, modelli di richiesta anomali, strane modifiche agli oggetti, user agent non corrispondenti e query DNS che non si adattano al normale comportamento dell'applicazione. L'obiettivo non è bloccare il protocollo, ma rilevare quando un protocollo normale viene usato come canale nascosto di controllo o esfiltrazione.