Publish/subscribe è un modello di messaggistica in cui i mittenti pubblicano dati su topic denominati e i destinatari si iscrivono ai topic che desiderano monitorare. In genere, un broker si colloca al centro e inoltra i messaggi dai publisher a tutti gli subscriber corrispondenti, così i client non hanno bisogno di connessioni punto-punto dirette.
Questo design è importante nella sicurezza informatica perché è efficiente, scalabile e spesso considerato attendibile all'interno di sistemi di telemetria, IoT e automazione. Gli attaccanti possono abusarne per il comando e controllo pubblicando task su un topic a cui si iscrivono gli host compromessi, quindi raccogliendo le risposte tramite lo stesso broker. Questo può far sembrare il traffico malevolo una normale messaggistica applicativa anziché evidenti beacon di malware. I difensori cercano nomi di topic insoliti, comportamenti inattesi dei client e host che usano protocolli come MQTT senza una reale esigenza aziendale. I log del broker, i metadati di rete e la telemetria degli endpoint insieme aiutano a distinguere il traffico legittimo pub/sub dai canali di controllo nascosti.