L'attraversamento della rete è il movimento che un attaccante compie attraverso i sistemi interni dopo aver ottenuto il primo punto d'appoggio in un ambiente bersaglio. Include il passaggio da un host a un altro, l'individuazione delle risorse raggiungibili e l'uso di relazioni di fiducia interne o di servizi remoti come SMB, RDP o SSH per continuare l'intrusione.
Questo è importante perché molte violazioni diventano gravi solo dopo che l'attaccante lascia il punto di ingresso e raggiunge file server, controller di dominio o altri sistemi di alto valore. I difensori cercano di individuare l'attraversamento monitorando il traffico est-ovest, accessi amministrativi insoliti, esecuzioni remote e accessi che superano i normali confini di segmentazione. Una forte segmentazione di rete, il privilegio minimo e una registrazione dettagliata possono rallentare o fermare questa fase e limitare la diffusione di un'intrusione.