Un disallineamento processo-rete è traffico di rete che non rientra nel normale comportamento dell'applicazione che sembra generarlo. Gli strumenti di sicurezza confrontano le destinazioni, le porte, i protocolli, la tempistica e il volume attesi di un processo con ciò che effettivamente fa sulla rete. Se un browser all'improvviso comunica con un host insolito, usa un protocollo anomalo o invia beaconing regolare che assomiglia più a malware che alla navigazione dell'utente, si tratta di un disallineamento.
Questo è importante perché gli aggressori spesso nascondono il comando e controllo all'interno di programmi fidati come browser, applicazioni Office o utilità di sistema. Ciò può far confondere il traffico ostile con l'attività legittima e ridurre il valore dei soli indicatori semplici, come la scansione delle porte o il blocco dei domini. I difensori usano il rilevamento del disallineamento processo-rete in EDR, nei log dei proxy e nel monitoraggio della rete per individuare abusi di living-off-the-land, iniezione di malware, proxying e altre tecniche di occultamento. In pratica, l'indizio non è solo