Una catena di relay è una sequenza di sistemi che inoltra il traffico di rete da un punto a un altro. Ogni sistema passa il traffico al successivo, rendendo più difficile identificare la fonte originale basandosi soltanto sulla connessione finale. Negli attacchi, gli operatori possono instradare il traffico attraverso router compromessi o altri dispositivi connessi a Internet, talvolta alternandoli per far sì che il percorso resti attivo per poco tempo.
Le catene di relay possono complicare l’attribuzione e rendere meno efficaci difese semplici, come bloccare un singolo indirizzo IP di origine, perché l’indirizzo visibile potrebbe appartenere a un intermediario anziché all’attaccante. Non rendono impossibile tracciare l’attività: i difensori possono correlare i modelli di traffico, i log di autenticazione e accesso e le prove raccolte sugli endpoint. Monitorare gli accessi privilegiati e remoti, rafforzare la sicurezza dei dispositivi esposti e indagare sulle connessioni insolite può aiutare a rilevare gli abusi. La presenza di un dispositivo relay nel traffico non dimostra, di per sé, chi lo controllava né quali sistemi siano stati coinvolti.