RemoteIPType è un campo di telemetria che classifica il tipo di un indirizzo IP remoto, ad esempio pubblico, privato o altre categorie di indirizzi. Negli strumenti di sicurezza, aiuta gli analisti a filtrare rapidamente gli eventi di rete e a separare le connessioni verso Internet dal traffico interno.
Questo campo è importante perché la ricerca delle minacce e la logica di rilevamento spesso dipendono da esso. Se una query usa RemoteIPType in modo troppo ristretto, può perdere connessioni sospette che sono etichettate in modo errato, incomplete o non coperte dalla categoria scelta. Negli attacchi reali, il traffico di command-and-control usa spesso destinazioni pubbliche per controllare i sistemi compromessi, mentre i difensori possono usare questo campo insieme ai dati di processo, alla reputazione della destinazione, all'attività DNS e alle informazioni sulle porte per creare rilevamenti più solidi. Da solo, RemoteIPType è utile per il triage, ma dovrebbe essere considerato un indizio, non la prova che tutto il traffico di rete rilevante sia stato acquisito.