La correlazione del traffico è la pratica di associare i flussi di rete ai dati di endpoint, DNS, proxy o log per dedurre cosa stia realmente facendo una connessione. Un singolo indirizzo IP o una sessione cifrata spesso rivela poco da solo, ma quando gli analisti di difesa lo allineano con la creazione di processi, le query DNS o il comportamento delle applicazioni, il quadro completo diventa più chiaro.
Questo è importante nella sicurezza informatica perché gli aggressori spesso si nascondono dietro proxy, tunnel e catene di relay multi-hop. La correlazione può smascherare callback di malware, esfiltrazione di dati o traffico di comando e controllo anche quando il payload è cifrato. In difesa, gli analisti la usano per collegare un flusso al processo che lo ha avviato, identificare una risoluzione dei nomi anomala e distinguere servizi legittimi da infrastrutture occulte. La tecnica è particolarmente utile quando le blocklist falliscono e il comportamento è il miglior indizio.