Il triage degli endpoint è la revisione iniziale di un computer o di un altro dispositivo per identificare attività sospette e valutare se potrebbe essere compromesso. Gli analisti controllano comunemente i processi in esecuzione, i percorsi degli eseguibili, gli elementi di avvio o altri meccanismi di persistenza, le attività recenti del sistema e le connessioni di rete impreviste.
In pratica, un picco inspiegabile nell'uso della CPU o un processo sconosciuto, come un miner di criptovalute, può far scattare il triage. L'obiettivo è raccogliere e convalidare le prove, non considerare un singolo processo insolito come prova di una violazione. I risultati possono orientare il contenimento e determinare se sia necessaria un'indagine forense più approfondita. I difensori dovrebbero conservare i log pertinenti e usare strumenti di sistema affidabili, poiché un'ispezione rapida o un assistente automatizzato possono individuare piste da approfondire, ma non possono stabilire da soli l'identità di un aggressore né la portata completa di un incidente.