Il command-and-control (C2) basato su HTTP è una comunicazione malware che usa normali richieste e risposte web per scambiare istruzioni, stato o dati rubati. Il malware può sembrare un browser, inviando richieste GET o POST a un server remoto e ricevendo in risposta i compiti da eseguire.
Questo è importante perché HTTP è ampiamente consentito attraverso i firewall ed è comune nelle reti aziendali, quindi il traffico malevolo può mimetizzarsi nel normale browsing e nelle chiamate API. I difensori spesso cercano segnali come user agent insoliti, intervalli di beaconing ripetitivi, URL strani, parametri codificati o traffico verso domini e IP rari. Alcuni malware usano HTTPS per rendere più difficile l'ispezione, mentre altri passano a DNS o ad altri trasporti quando il monitoraggio del proxy web è più rigoroso. Il rilevamento del C2 basato su HTTP si basa in genere su log del proxy, telemetria degli endpoint e pattern comportamentali, piuttosto che sul solo contenuto.