La detonazione è l'esecuzione controllata di contenuti sospetti in un ambiente isolato, in modo che gli analisti possano osservare cosa fa senza mettere a rischio i sistemi di produzione. Il campione può essere un allegato di posta elettronica, uno script, un documento o un collegamento che avvia ulteriori attività. Lasciandolo eseguire in una sandbox o in un laboratorio, i difensori possono osservare la creazione di processi, le scritture di file, le chiamate di rete, i reindirizzamenti e altri comportamenti che un'analisi statica potrebbe non rilevare.
La detonazione è importante perché molte minacce moderne sono preparate in più fasi o ritardate. Il corpo di un'email può sembrare innocuo, mentre il vero payload appare solo dopo un clic, un reindirizzamento del browser o un'azione temporizzata. Nelle operazioni di sicurezza, la detonazione aiuta a rivelare se il contenuto è benigno, malevolo o parte di una catena più ampia, e supporta una migliore triage, l'ingegneria del rilevamento e la risposta agli incidenti. È una tecnica difensiva, ma anche gli attaccanti cercano di rilevare o aggirare il sandboxing, motivo per cui gli analisti spesso combinano la detonazione con la visibilità del browser e altre telemetrie.