Un servizio del piano di controllo gestisce o orchestra il funzionamento di un sistema. A differenza di un'applicazione destinata agli utenti, si occupa di attività quali configurare i carichi di lavoro, coordinare le risorse o impartire istruzioni ad altri componenti. In una sandbox, un endpoint interno del piano di controllo può gestire gli ambienti di esecuzione o le relative impostazioni.
Questi servizi sono sensibili perché l'accesso può consentire modifiche che vanno oltre il servizio stesso. Durante gli attacchi, un carico di lavoro compromesso può sondare le reti interne alla ricerca di endpoint di controllo o tentare di usare credenziali esposte. Raggiungere un endpoint non conferisce di per sé il controllo: sono l'autenticazione, l'ambito del token e l'autorizzazione a determinare quali azioni sono consentite. I difensori dovrebbero limitare l'accesso alla rete, proteggere le credenziali e limitarne rigorosamente l'ambito, nonché applicare l'autorizzazione a livello del servizio, anziché affidarsi a un'unica regola di rete.