Il camuffamento del protocollo è una tecnica in cui il traffico di rete malevolo viene modellato per assomigliare a un protocollo o a un servizio legittimo. Invece di usare beacon chiaramente sospetti, un attaccante può copiare il formato dei pacchetti, la temporizzazione, le porte o il flusso dei messaggi di traffico comune come HTTP, DNS, STUN o WebSocket. L'obiettivo è confondersi con l'attività normale ed evitare semplici regole di rilevamento che si basano su firme dannose note o porte bloccate.
Questo è importante perché molti controlli di sicurezza si fidano di modelli di protocollo familiari. Se il traffico di command-and-control assomiglia al traffico ordinario di applicazioni o di traversal NAT, potrebbe attraversare firewall, proxy e allowlist senza essere notato. I difensori lo contrastano con monitoraggio consapevole del protocollo, baselining, ispezione approfondita dei pacchetti e analisi comportamentale che verifica se il contenuto, la temporizzazione e la destinazione corrispondono davvero al protocollo dichiarato. In pratica, il camuffamento spesso lascia indizi sottili: campi malformati, dimensioni dei pacchetti insolite, schemi di ritrasmissione anomali o server di destinazione che non corrispondono a un uso aziendale previsto.