WebSockets è un protocollo che si avvia su HTTP o HTTPS e poi mantiene aperta una connessione persistente bidirezionale tra un client e un server. A differenza del traffico breve di richiesta-risposta, una sessione WebSocket può rimanere attiva a lungo e inviare messaggi in entrambe le direzioni con un sovraccarico ridotto. Questo lo rende utile per app di chat, dashboard, avvisi in tempo reale e altri strumenti web interattivi.
Nel campo della sicurezza informatica, i WebSockets sono importanti perché la stessa connessione di lunga durata può nascondere traffico di comando e controllo all'interno di attività web crittografate dall'aspetto normale. Il malware può usarli per ricevere istruzioni, inviare dati rubati o mantenere un canale stabile senza aprire ripetutamente nuove connessioni. I difensori cercano un uso insolito dei WebSockets correlando i log di rete con la telemetria degli endpoint, ad esempio quale processo ha avviato la sessione, dove si connette e se il comportamento corrisponde a quello normale dell'applicazione. Un'attività WebSocket inattesa da un processo simile a un browser o da un processo di servizio può essere un forte indizio di hunting.