La caccia alla compromissione è la pratica di cercare nei sistemi prove che indichino che un attaccante abbia già stabilito un punto d'appoggio. Anziché attendere un avviso visibile, i difensori esaminano log, file, processi, account e attività di rete alla ricerca di segni sottili di intrusione, come web shell, attività pianificate insolite, eventi di autenticazione sospetti o modifiche inattese al codice dell'applicazione.
È importante perché molte vulnerabilità sfruttabili, incluse quelle sfruttabili da remoto nelle applicazioni web, possono essere utilizzate in modo silenzioso prima che qualcuno se ne accorga. In una piattaforma di e-commerce, la caccia alla compromissione aiuta a stabilire se una patch è sufficiente o se l'ambiente è già stato alterato. Le ricerche tipiche si concentrano su modifiche recenti ai file, connessioni in uscita dai server web, nuovi utenti amministratori e pattern di richieste anomali. Se usata bene, trasforma una sospetta violazione in un'indagine concreta e aiuta a fermare la persistenza, il movimento laterale e ulteriori furti di dati.