Il reverse proxying è la pratica di inviare traffico attraverso un server intermediario che inoltra le richieste tra l'operatore e il bersaglio. Nella sicurezza informatica, gli attaccanti lo usano per nascondere la vera origine delle loro connessioni, per far sembrare il traffico di command-and-control come normale attività web e per raggiungere servizi interni tramite una macchina vittima senza connettersi direttamente dalla propria infrastruttura.
Questo è importante perché l'intermediario può interrompere una semplice attribuzione e complicare il filtraggio. Un host compromesso può sembrare l'origine di accessi, chiamate API o sessioni del browser anche quando un operatore remoto lo sta controllando. I difensori cercano connessioni insolite simili a proxy, tunneling inatteso dagli endpoint, connessioni ripetute allo stesso relay e modelli di sessione che non corrispondono al normale comportamento dell'utente. Il reverse proxying è comune nell'accesso post-compromissione, nell'abuso di credenziali e negli strumenti criminali che mirano a rimanere nascosti mentre si muovono attraverso le reti.