La postura detection-first è un approccio di sicurezza che dà priorità all'individuazione di attività sospette prima di adottare misure di contenimento. Presuppone che i difensori identifichino, smistino e verifichino un evento tramite log, alert e revisione degli analisti, per poi rispondere con blocco, isolamento o rimedio. Questo approccio è efficace quando gli attacchi sono rumorosi, lenti o lasciano indicatori chiari negli endpoint, nei sistemi di identità o nella telemetria di rete.
Nella sicurezza informatica, il detection-first è importante perché può rivelare comportamenti dell'attaccante che i controlli di prevenzione non rilevano, come l'abuso di credenziali, il movimento laterale o malware che modifica la propria firma. Viene comunemente usato con SIEM, EDR e analisi basate sul comportamento. Il punto debole è il tempismo: se un attaccante si muove rapidamente, fare affidamento sulla conferma umana può creare un ritardo. Per questo il detection-first viene di solito affiancato da prevenzione a più livelli, impostazioni predefinite solide, segmentazione e playbook di risposta automatizzati.