Un server in affitto è un'infrastruttura ospitata esternamente, di solito un server privato virtuale o un'istanza cloud, che un operatore noleggia per eseguire strumenti lontano dalla rete bersaglio. Nella sicurezza informatica, è importante perché offre agli aggressori un luogo separato in cui predisporre malware, instradare connessioni tramite proxy, ospitare payload, raccogliere log o eseguire comandi di ricognizione senza esporre il proprio ambiente. Questa separazione può anche rendere più difficile l'attribuzione del traffico e fornire all'attività malevola una base operativa temporanea.
Negli attacchi reali, i server in affitto compaiono spesso come nodi di comando e controllo, host per phishing, sorgenti di scansione o punti di inoltro usati per convogliare il traffico verso un ambiente vittima. I difensori cercano segnali come connessioni outbound insolite, nuova infrastruttura remota con durata breve o attività amministrative che hanno origine da intervalli cloud consumer invece che dai normali host aziendali. Il monitoraggio dell'egress, la correlazione degli storici di accesso e la segnalazione di un uso improvviso di server esterni possono aiutare a individuare la fase di staging prima che l'attività raggiunga sistemi interni sensibili.