Il traffico heartbeat è una comunicazione di rete periodica inviata da un dispositivo, un agente o un servizio per indicare che è online, raggiungibile e funzionante. È comune in telecamere, sistemi embedded, strumenti di gestione remota e dispositivi connessi al cloud. Un heartbeat può includere un semplice flag di stato, un ID del dispositivo, un timestamp o un controllo di configurazione, e spesso avviene a intervalli fissi.
In ambito cyber security, il traffico heartbeat è importante perché aiuta i difensori a rilevare interruzioni, agenti inattivi e collegamenti guasti, ma può anche rivelare la presenza di un sistema e la temporizzazione della sua attività. Gli attaccanti possono imitare o abusare dei canali heartbeat per nascondere il traffico di command-and-control, mantenere la persistenza o confondere il traffico in uscita malevolo con il normale comportamento del dispositivo. I difensori quindi monitorano le destinazioni, la frequenza e i payload dell'heartbeat, e li confrontano con i servizi approvati dal vendor per individuare configurazioni errate, connessioni non autorizzate o modifiche sospette.