L'instradamento operativo è la selezione deliberata e il controllo dei percorsi che l'attività informatica segue attraverso sistemi intermediari come proxy, relay o host compromessi. Invece di inviare il traffico direttamente da una sorgente a un obiettivo, un operatore sceglie uno o più salti per nascondere l'origine, distribuire il carico o aggirare i blocchi. Il percorso può essere statico, rotante o modificato su richiesta.
Questo è importante perché l'instradamento fa parte dell'infrastruttura dell'attacco, non solo del payload. Nello spionaggio, la scansione, il traffico di comando e il furto di dati possono tutti essere inoltrati attraverso più nodi, così i difensori vedono molte sorgenti invece di una sola. Per la difesa, il monitoraggio di cambiamenti insoliti dei percorsi, dell'uso di proxy e delle connessioni in uscita dai dispositivi perimetrali può rivelare questo livello. Interrompere l'instradamento operativo può rallentare un'operazione, ridurre l'anonimato e costringere gli avversari a ricostruire la propria rete di supporto.