Un sinkhole è un server difensivo o un endpoint di rete che si finge una destinazione che il traffico dannoso sta cercando di raggiungere, quindi reindirizza quel traffico in un ambiente controllato. Invece di consentire agli host infetti di contattare il vero sistema di comando e controllo dell'aggressore, il sinkhole assorbe la connessione e registra telemetria utile come gli indirizzi IP di origine, i tempi dei beacon e i dettagli del protocollo.
I sinkhole sono importanti perché aiutano i difensori a interrompere le botnet senza dover sequestrare immediatamente ogni dispositivo infetto. Possono ridurre la visibilità dell'aggressore, rivelare l'entità della compromissione e supportare la bonifica identificando le vittime. Nelle operazioni reali, il sinkholing viene spesso usato contro domini di malware, lookup a dead drop o server di comando fissi. Nelle botnet più stratificate, un sinkhole può essere distribuito in uno dei diversi punti di lookup o di relay, ma funziona bene solo quando i difensori possono prevedere o intercettare il percorso del traffico.