Una catena CNAME è una serie di alias DNS in cui un dominio punta a un altro, che a sua volta può puntare a un ulteriore destinazione prima di raggiungere l'host finale. Ogni passaggio può nascondere la vera infrastruttura dietro livelli di indirezione, rendendo più difficile risalire a proprietà, routing e controllo da una rapida consultazione.
Nella sicurezza informatica, le catene CNAME contano perché gli attaccanti le usano per oscurare server di comando e controllo, pagine di phishing o infrastrutture di tracciamento dietro domini e provider apparentemente innocui. Questo può rallentare i controlli di reputazione, le rimozioni dei domini e la revisione da parte degli analisti, soprattutto quando il nome visibile sembra non avere alcuna relazione con il backend reale. I difensori cercano catene di alias insolitamente lunghe, destinazioni che cambiano rapidamente o domini che si risolvono attraverso schemi sospetti su molti host. Correlare i dati DNS con la telemetria degli endpoint e dei proxy aiuta a distinguere la distribuzione normale dei contenuti dal mascheramento dell'attaccante.