Una strategia di rilevamento è un piano di alto livello per riconoscere comportamenti potenzialmente dannosi. Descrive quali attività i difensori dovrebbero cercare, senza specificare ancora la query, la regola o l'avviso esatti necessari per individuarle in una determinata piattaforma di sicurezza.
In pratica, i team traducono una strategia in analisi basate sulla telemetria disponibile, come i log relativi a identità, endpoint, rete o sistemi di controllo industriale. La strategia orienta la ricerca proattiva delle minacce e aiuta a individuare lacune nel monitoraggio; le analisi risultanti devono essere testate e messe a punto in base alle condizioni locali per ridurre le attività non rilevate e i falsi allarmi. Una strategia è un modello difensivo, non una prova che si sia verificato un attacco.