Il monitoraggio passivo della rete è la pratica di osservare il traffico di rete in ingresso alla ricerca di un trigger specifico invece di inviare regolarmente beacon o richieste in uscita. Nella progettazione del malware, ciò significa che un implant può rimanere dormiente finché non riceve un pacchetto appositamente creato, talvolta chiamato pacchetto magico, che attiva un comportamento nascosto.
Questo è importante nella sicurezza informatica perché molte difese si concentrano sul traffico in uscita, sulle callback periodiche e su domini sospetti di command-and-control. Un listener passivo può eludere questi controlli rimanendo silenzioso finché non arriva il pacchetto giusto. I difensori possono incontrare questo tipo di meccanismo in backdoor, strumenti di amministrazione covert o implant attivati da pacchetto che vengono eseguiti solo dopo uno schema di rete preciso. Il rilevamento richiede di solito una visibilità più profonda nei packet capture, in comportamenti di ascolto insoliti, nel contesto del processo e nell'attività della memoria, anziché nel solo traffico in uscita.