Il mascheramento del protocollo è la pratica di far sembrare il traffico malevolo uno scambio legittimo di protocollo. Invece di utilizzare una porta o un payload chiaramente sospetti, gli attaccanti copiano la struttura, i tempi o i campi di un protocollo fidato, in modo che il loro traffico si confonda con l'attività di rete normale. L'obiettivo è aggirare i filtri semplici e ridurre la probabilità che i difensori notino attività di comando e controllo, furto di dati o instradamento clandestino.
Questo è importante perché molti controlli di sicurezza si fidano per impostazione predefinita dei protocolli di infrastruttura comuni. In attacchi reali, il malware può racchiudere i comandi in messaggi simili a STUN, DNS o HTTPS, oppure imitare schemi di pacchetti che ricordano il traffico di servizio di routine. I difensori cercano discrepanze tra il comportamento previsto del protocollo e il contenuto effettivo: valori dei campi insoliti, logica di sessione non valida, destinazioni anomale, identificatori non casuali o dispositivi che usano un protocollo di cui non avrebbero mai bisogno. Un rilevamento efficace dipende dalla comprensione della semantica del protocollo, non solo dal riconoscimento del suo nome.