Il mascheramento dell'origine è la pratica di rendere difficile identificare la vera fonte del traffico di rete. Gli attaccanti lo fanno instradando le connessioni attraverso proxy, relay, VPN, host compromessi o infrastrutture concatenate, così che i difensori vedano solo un punto di uscita intermedio. L'indirizzo IP visibile può sembrare attivo e legittimo, ma non è l'endpoint del vero operatore.
Questo è importante perché attribuzione, blocco e risposta agli incidenti diventano tutti più difficili quando la fonte è oscurata. Negli attacchi reali, il mascheramento dell'origine fa spesso parte del proxying a più hop, del traffico di botnet o di percorsi nascosti di comando e controllo. I difensori rispondono correlando i flussi di rete con la telemetria degli endpoint, l'attività DNS e i registri di autenticazione, e cercando tunneling, concatenazione di relay e crittografia in uscita insolita invece di affidarsi solo alla reputazione dell'IP.