Un tunnel inverso è una connessione in uscita creata da un dispositivo all'interno di una rete, in modo che il traffico di un operatore esterno possa essere riportato indietro attraverso quella connessione. A differenza di una tradizionale sessione di accesso remoto in ingresso, l'host compromesso avvia da sé il collegamento, il che spesso gli consente di superare firewall e dispositivi NAT che bloccano le connessioni non richieste.
Nel contesto della sicurezza informatica, i tunnel inversi sono importanti perché trasformano un endpoint in un relay o punto di pivot. Gli aggressori li usano per command-and-control, accesso a shell remota, port forwarding e per raggiungere servizi interni non esposti direttamente a Internet. I difensori cercano sessioni in uscita di lunga durata, host di destinazione insoliti, tunnel cifrati da workstation degli utenti e strumenti da riga di comando o script che stabiliscono comportamenti di proxying. Un tunnel inverso non è sempre maligno, ma in un incidente spesso segnala che un sistema viene usato per nascondere il traffico dell'operatore ed estendere l'accesso più in profondità nell'ambiente.