Un check-in C2 è una connessione in uscita periodica da un host compromesso verso un server di comando e controllo. Il malware la usa per chiedere nuove istruzioni, segnalare lo stato, caricare risultati o confermare che è ancora in esecuzione. Il traffico è spesso ridotto, regolare e facile da nascondere all'interno di normali richieste web, query DNS o altri protocolli consentiti.
I difensori monitorano i check-in C2 perché possono rivelare una compromissione attiva anche prima che i danni siano visibili. Gli indicatori comuni includono beaconing ripetuto a intervalli fissi, destinazioni insolite, stringhe user-agent strane o un processo che effettua chiamate di rete che non dovrebbe fare. Gli aggressori cercano di mimetizzare queste connessioni come software affidabile o tunnel, motivo per cui gli analisti combinano i log di rete con la discendenza dei processi, la telemetria degli endpoint e il contesto dell'attività dell'utente per separare l'automazione legittima dal comportamento del malware.