Il traffico C2, abbreviazione di traffico di comando e controllo, è la comunicazione di rete utilizzata dal malware per ricevere istruzioni da un operatore e inviare indietro stato, dati rubati o dettagli del sistema. È una parte fondamentale di molte infezioni perché un host compromesso è spesso più pericoloso quando può essere diretto da remoto.
In pratica, il traffico C2 può apparire come normali richieste web, query DNS o sessioni HTTPS crittografate, il che ne rende difficile l'individuazione basandosi solo sul contenuto. I difensori cercano destinazioni insolite, beacon ripetuti, temporizzazione anomala e connessioni che non corrispondono al normale comportamento aziendale. Bloccare o rilevare il traffico C2 può interrompere il controllo dell'attaccante, limitare il movimento laterale e rivelare i dispositivi infetti prima che il danno si diffonda.