Una policy oscurata è una regola di firewall o di controllo degli accessi che viene nascosta, in tutto o in parte, da un'altra regola che corrisponde prima nell'ordine delle policy. Poiché la regola con priorità più alta intercetta per prima il traffico, la regola successiva potrebbe non entrare mai in vigore oppure applicarsi solo a casi limite. In pratica, questo rende difficile ragionare sull'applicazione delle regole e può creare un falso senso di sicurezza.
Le policy oscurate sono importanti perché sia gli aggressori sia i difensori traggono vantaggio dalla confusione nei set di regole. Un servizio bloccato potrebbe comunque essere raggiungibile tramite un'eccezione trascurata, mentre una regola di autorizzazione apparentemente valida potrebbe risultare inefficace perché un'altra regola di negazione la sovrascrive. I team di sicurezza cercano regole oscurate durante gli audit, la ricertificazione delle regole e la pulizia delle policy, spesso usando strumenti di gestione che analizzano sovrapposizioni, ordine delle regole e voci inutilizzate. Rimuovere o correggere le policy oscurate migliora la visibilità, riduce il rischio legato alla proliferazione delle regole e rende il comportamento del firewall più facile da verificare e difendere.