Un analizzatore di protocollo è codice che legge i messaggi di rete e trasforma i byte grezzi in dati strutturati che l'applicazione può usare. In termini di sicurezza, è un confine di fiducia: l'analizzatore deve gestire qualsiasi cosa un aggressore possa inviare, non solo traffico ben formato. Se calcola male le lunghezze, si fida dei campi troppo presto o scrive oltre la memoria allocata, il risultato può essere un arresto anomalo, danneggiamento dei dati o esecuzione di codice.
Gli analizzatori di protocollo sono bersagli di alto valore perché si trovano direttamente tra la rete e la memoria del programma. Gli aggressori spesso li prendono di mira inviando pacchetti malformati, campi di dimensioni eccessive o transizioni di stato inattese. I difensori riducono il rischio convalidando ogni lunghezza e tipo, usando una gestione sicura della memoria, sottoponendo gli analizzatori a fuzzing con input errati e disabilitando le funzionalità di protocollo non necessarie. Negli strumenti di desktop remoto, gli analizzatori degli appunti o dei canali sono particolarmente sensibili perché un server malevolo può immettere dati ostili nel client.