L'attività in uscita è il traffico di rete che lascia i sistemi di un'organizzazione, come caricamenti, consegna di email, sincronizzazione cloud, connessioni remote o dati inviati a server esterni. Nel lavoro di sicurezza, il termine si riferisce di solito a traffico insolito, inatteso o incoerente con il normale uso aziendale.
È importante perché gli aggressori hanno spesso bisogno di canali in uscita per sottrarre dati, ricevere comandi o portare fuori da una rete gli strumenti. I difensori cercano picchi di volume, destinazioni non familiari, protocolli rari, trasferimenti fuori orario o sessioni criptate di grandi dimensioni. Durante la revisione di un incidente, un'attività insolita in uscita può aiutare a confermare la preparazione o l'esfiltrazione dei dati, ma deve essere correlata con i log, gli avvisi degli endpoint e il comportamento degli utenti prima di trarre conclusioni.