Gli scambi TCP cifrati sono piccoli trasferimenti di dati inviati tramite il protocollo TCP con la cifratura applicata per nascondere il contenuto da un'ispezione superficiale. TCP è un trasporto normale usato da molte applicazioni legittime, quindi il traffico stesso può sembrare ordinario mentre il payload rimane illeggibile senza le chiavi corrette.
Nella sicurezza informatica, questo è importante perché gli aggressori spesso usano TCP cifrato per spostare dati rubati, ricevere comandi o predisporre strumenti successivi senza generare un caricamento ampio e ovvio. Piccole raffiche cifrate possono confondersi con il rumore di rete di routine ed eludere semplici rilevamenti che cercano trasferimenti di file o indicatori in testo normale. I difensori cercano il contesto attorno al traffico: processi insoliti che effettuano connessioni in uscita ripetute, destinazioni anomale, temporizzazione simile a quella di un beacon e sessioni cifrate che trasportano pochi dati ma con frequenza elevata. La cifratura non rende l'attività sicura; rende solo più difficile l'ispezione, quindi i metadati di rete e il comportamento degli endpoint diventano più importanti.