ATT&CK T1090 è la famiglia di tecniche MITRE ATT&CK per l'uso di proxy nel comando e controllo e nell'inoltro del traffico. In pratica, un attaccante instrada il traffico di rete attraverso uno o più sistemi intermedi, in modo che la vera origine, destinazione o operatore sia più difficile da identificare. Esempi comuni includono proxy pubblici, server compromessi, router o altri dispositivi di bordo che agiscono da relay.
Questo è importante perché il proxying aiuta gli attaccanti a nascondere l'infrastruttura, aggirare i filtri e sopravvivere alle rimozioni spostando il traffico attraverso nuovi hop. Per i difensori, la sfida è che la connessione finale può sembrare traffico HTTPS ordinario o traffico cloud, a meno che i log e i dati di flusso non vengano esaminati attentamente. Il rilevamento spesso si basa sul controllo dell'egress, sulla ricerca di anomalie, su pattern di relay insoliti e sulla correlazione tra più livelli di rete. In breve, T1090 descrive un pattern di offuscamento e instradamento che può supportare un comando e controllo nascosto, l'abuso di credenziali o altre attività celate.