I domini rotanti sono una tattica degli attaccanti in cui operatori malevoli cambiano frequentemente gli hostname o i domini basati su IP utilizzati per la distribuzione, il comando e controllo o l'esfiltrazione dei dati. L'obiettivo è rendere meno efficaci i blocchi di sicurezza, le rimozioni e l'attribuzione trattando l'infrastruttura come usa e getta.
Questo è importante perché una blocklist basata su domini può diventare rapidamente obsoleta: una volta che un hostname viene segnalato, la campagna può spostarsi su un altro. I domini rotanti sono comuni nel phishing, nella preparazione di malware e nelle operazioni di infostealer, dove gli host infetti contattano ripetutamente nuovi endpoint. I difensori rispondono cercando modelli che resistono ai cambiamenti degli hostname, come il comportamento delle query DNS, i percorsi URL, il riutilizzo dei certificati, la sovrapposizione dell'infrastruttura e l'attività dei processi sugli endpoint. I team di sicurezza possono anche usare feed di reputazione, sinkholing e monitoraggio DNS, ma il rilevamento comportamentale è in genere più duraturo del blocco di un singolo dominio noto.