Un raw socket è un'interfaccia di rete di basso livello che consente al software di leggere o creare pacchetti con un controllo molto maggiore rispetto a un normale socket TCP o UDP. Anziché lavorare solo con i dati dell'applicazione, può esporre le intestazioni dei pacchetti e, in alcuni casi, permettere a un processo di costruire pacchetti direttamente. Su Windows, questa capacità è spesso limitata e può richiedere privilegi elevati.
Nella sicurezza informatica, i raw socket sono importanti perché possono essere usati per il packet sniffing, la scansione di rete e l'abuso dei protocolli. Il malware può usarli per un'attivazione silenziosa, una comunicazione basata su trigger o una gestione personalizzata dei pacchetti che evita il normale logging a livello di applicazione. Per i difensori sono rilevanti perché l'attività dei raw socket può indicare ricognizione o canali di controllo nascosti, ma può anche comparire in strumenti legittimi come software di diagnostica e monitoraggio. Un buon rilevamento di solito combina il monitoraggio dei privilegi, la telemetria degli endpoint e l'attenzione a comportamenti insoliti di ispezione dei pacchetti.