Un server dell'attaccante esposto è un'infrastruttura controllata da un avversario ma lasciata raggiungibile dal pubblico Internet, spesso a causa di una configurazione scorretta, di un hosting dimenticato o di controlli di accesso deboli. Può contenere script di exploit, kit di phishing, registri, file di staging, strumenti di comando e controllo o dati rubati. Nel lavoro di sicurezza, questo è importante perché il server può rivelare come è organizzata una campagna di intrusione e cosa stanno facendo gli operatori dietro le quinte.
I difensori cercano questi server durante le indagini perché possono esporre errori operativi, domini correlati, payload, elenchi di obiettivi e timestamp che supportano il threat hunting e l'analisi di attribuzione. Inoltre creano un rischio per l'attaccante: le prove raccolte possono aiutare gli addetti alla risposta agli incidenti a capire il percorso dell'attacco, individuare altre vittime e bloccare l'infrastruttura correlata. In pratica, i server dell'attaccante esposti trasformano una risorsa offensiva in una fonte di intelligence per i difensori.