Il camuffamento del traffico è una tecnica che fa sembrare l'attività di rete malevola una normale navigazione web. Invece di usare un'infrastruttura malware evidente, gli aggressori cercano di mimetizzare il comando e controllo, il recupero del payload o l'esfiltrazione dei dati in pattern di traffico che assomigliano a normali richieste HTTPS, clic sugli annunci, caricamenti di immagini o altri comportamenti di routine del browser.
Questo è importante perché molte difese iniziano con la reputazione, la categoria della destinazione o semplici controlli sul volume. Se le sessioni malevole sono nascoste dentro un'attività web dall'aspetto familiare, possono eludere i filtri ingenui e ritardare il rilevamento. Negli attacchi reali, il camuffamento può usare servizi legittimi, siti web poco affidabili, contenuti memorizzati nella cache o nomi di dominio che non sembrano immediatamente sospetti. I difensori lo contrastano correlando i log DNS, i log del proxy, la telemetria degli endpoint e l'ascendenza dei processi, quindi cercando timing anomali, callback ripetuti, pattern insoliti di user-agent o richieste pilotate da script. Il segnale chiave è spesso il comportamento, non l'apparente argomento del sito.