Un segnale di rilevamento è una prova che rende più facile identificare attività sospette con maggiore affidabilità. Può essere un singolo indizio, come un modello di accesso insolito, oppure una combinazione più forte di eventi, come il contatto con un esca, l'avvio di un processo raro e una connessione di rete verso un host inatteso.
Nella sicurezza informatica, i segnali di rilevamento sono importanti perché i difensori raramente ottengono una prova perfetta da un singolo avviso. Invece combinano segnali provenienti da log, telemetria degli endpoint, sistemi di identità, traffico di rete e strumenti di deception per decidere se un'attività è normale, rumorosa o malevola. I segnali forti aiutano a ridurre i falsi positivi e ad accelerare la risposta, mentre segnali deboli o configurati male possono creare confusione. Durante gli attacchi, i segnali spesso compaiono nella ricognizione, nell'abuso di credenziali, nel movimento laterale o nell'interazione con trappole e honeypot. I buoni difensori cercano schemi che aumentano la fiducia, non solo avvisi isolati.