Il tunneling di rete è la pratica di inoltrare il traffico di rete attraverso un host o un protocollo in modo che sembri provenire da altrove. In un uso legittimo, il tunneling aiuta l'accesso remoto, le VPN e le connessioni sicure ai servizi. Nelle mani di un attaccante, può nascondere il traffico di comando e controllo, aggirare i firewall o consentire a un operatore di raggiungere sistemi interni attraverso una macchina compromessa.
Nelle intrusioni reali, il tunneling spesso compare dopo l'accesso iniziale. Un malware o un operatore interattivo può aprire un proxy, un tunnel SSH o un canale di port forwarding che inoltra le richieste tra l'attaccante e la rete della vittima. Questo può far fondere il traffico sospetto con le connessioni normali e consentire agli attaccanti di muoversi lateralmente senza esporre direttamente la propria infrastruttura. I difensori cercano connessioni in uscita insolite, comportamenti proxy inattesi e servizi interni accessibili tramite un endpoint che normalmente non dovrebbe inoltrare traffico. I log di rete, la telemetria degli endpoint e gli eventi di identità insieme possono rivelare questo schema.