Un banner FTP è il messaggio di benvenuto che un server FTP invia non appena un client si connette, prima che inizino eventuali comandi dell'utente. In genere identifica il servizio, la versione o un testo di policy e, nell'uso normale, sembra traffico di protocollo di routine. Poiché appare all'inizio della sessione, i difensori a volte lo considerano rumore di fondo innocuo.
Questa ipotesi può essere rischiosa. Gli attaccanti possono nascondere istruzioni o dati di attivazione in un banner, in modo che uno strumento di prima fase, uno script o un implant legga il messaggio di benvenuto e agisca di conseguenza. In questo modo il banner diventa parte del piano di controllo, non solo un messaggio di stato. In pratica, i team di sicurezza cercano contenuti anomali del banner, risposte insolite del server e discrepanze tra il banner e il comportamento successivo della rete. Un rilevamento efficace combina l'ispezione dei pacchetti con la telemetria degli endpoint, come la creazione di processi e le connessioni in uscita, perché un banner malevolo può avere significato solo se considerato insieme a ciò che il client fa dopo.