Il monitoraggio delle connessioni in uscita è una pratica difensiva che consiste nell'osservare il traffico avviato dai dispositivi verso reti esterne. Può includere l'esame degli indirizzi di destinazione, delle porte, dei protocolli, della frequenza delle connessioni e del volume di dati, confrontandoli poi con il comportamento previsto per ciascun sistema.
È importante perché i dispositivi compromessi possono inoltrare di nascosto il traffico di altri, come nel proxyjacking, o comunicare con infrastrutture controllate dagli aggressori. Connessioni inattese provenienti da apparati di rete o server possono rivelare la presenza di software non autorizzato o attività di inoltro insolite. I difensori utilizzano firewall, strumenti di rilevamento di rete, registri DNS e record di flusso per identificare anomalie, esaminare il processo o il dispositivo coinvolto e limitare il traffico sospetto. Il monitoraggio è più efficace se abbinato a una baseline dell'attività normale e all'applicazione tempestiva delle patch; il traffico insolito in uscita è un segnale da esaminare, non una prova di compromissione di per sé.