Un tunnel è un percorso incapsulato che trasporta un tipo di traffico all'interno di un altro processo o canale fidato. In pratica, può incapsulare dati di rete dentro HTTPS, SSH, una VPN o persino un processo di supporto locale, in modo che il traffico sembri appartenere a qualcosa di familiare e approvato. Il payload esiste ancora, ma il livello esterno nasconde la sua destinazione, il suo protocollo o il suo scopo diretti.
I tunnel sono importanti nella sicurezza informatica perché possono essere usati sia per la difesa sia per l'abuso. I difensori li usano per proteggere l'accesso remoto e spostare i dati in modo sicuro attraverso reti non affidabili. Gli aggressori li usano per nascondere il command-and-control, instradare traffico malevolo attraverso software legittimo o confondere l'esfiltrazione con connessioni dall'aspetto normale. Poiché il tunnel può mascherare il percorso reale, gli analisti spesso hanno bisogno di telemetria degli endpoint, lineage dei processi e contesto della destinazione per distinguere un flusso di lavoro legittimo da un'automazione sospetta.