Lo stato di connection tracking è il record che un dispositivo di rete conserva per poter riconoscere le sessioni attive e ricordare come i pacchetti vengono mappati tra endpoint interni ed esterni. Nei sistemi NAT e firewall, questo stato indica al dispositivo quali risposte appartengono a quale connessione, quali porte sono state tradotte e quando una sessione deve essere rimossa.
Questo è importante perché lo stato è sia utile sia sensibile. Gli strumenti di sicurezza dipendono da esso per consentire il traffico di ritorno legittimo e bloccare i pacchetti non sollecitati, ma gli aggressori possono colpire la stessa logica per confondere la gestione delle sessioni, iniettare o reindirizzare il traffico oppure esaurire la tabella con un numero eccessivo di voci. Negli attacchi reali, la manipolazione dello stato di connection tracking può favorire il dirottamento di sessioni TCP, la manomissione DNS o un semplice denial of service riempiendo risorse di stato limitate. I difensori lo proteggono rafforzando i middlebox, limitando l'esposizione, monitorando una crescita anomala delle sessioni e mantenendo le tabelle di stato e i timeout regolati sui normali modelli di traffico.