La diagnosi è il processo di identificazione del componente, servizio o sottosistema che sta causando un guasto. Nella sicurezza informatica, è il passaggio che trasforma un sintomo vago come traffico lento, accessi non riusciti o arresti anomali ripetuti in una causa tecnica specifica. Una buona diagnosi riduce le supposizioni, evita sprechi di tempo e aiuta i difensori a stabilire se stanno affrontando un errore di configurazione, una dipendenza non funzionante, malware o un'intrusione attiva.
Nelle operazioni reali, la diagnosi può comportare il controllo dei log, il confronto tra comportamento normale e anomalo, l'isolamento degli endpoint e il test dei singoli servizi uno alla volta. Anche gli attaccanti si affidano alla diagnosi quando sondano un obiettivo per trovare il controllo più debole, la porta esposta o l'account configurato in modo errato che consentirà loro di andare avanti. I difensori usano la stessa disciplina per contenere rapidamente gli incidenti: identificare il sottosistema guasto, verificare la causa principale ed evitare di presumere che il primo sintomo visibile racconti l'intera storia.