Un segnale diagnostico è qualsiasi indizio osservabile che aiuta a spiegare come si comporta un sistema o un dispositivo. Nella sicurezza informatica, questo indizio può essere una voce di registro, un avviso, un pattern temporale, un pacchetto di rete, una lettura di un sensore o persino un rumore hardware insolito. Il valore di un segnale diagnostico non sta nel dimostrare da solo una causa, ma nel restringere le possibilità e indirizzare gli investigatori verso il componente, il processo o il livello giusto.
I segnali diagnostici sono importanti perché gli attacchi spesso cercano di nascondersi, mentre i difensori cercano di notare piccole deviazioni dal comportamento normale. Una raffica di accessi falliti, una nuova connessione in uscita, un messaggio di avvio modificato o un ronzio hardware ripetuto possono tutti diventare prove utili se confrontati con il comportamento atteso. Gli analisti usano questi segnali per distinguere il rumore dagli incidenti reali, confermare se un problema è ripetibile e decidere cosa ispezionare dopo. In pratica, una rilevazione efficace dipende dalla raccolta dei segnali giusti e dalla loro interpretazione attenta.