Una pipeline basata sugli eventi è un flusso di lavoro in cui ogni passaggio completato emette un segnale, o evento, che avvia il passaggio successivo. Invece di eseguire ripetutamente il polling di un sistema per verificare se i dati sono cambiati, i componenti reagiscono quando accade qualcosa, come il caricamento di un file, l'arrivo di un messaggio o il completamento di una scansione. Nella sicurezza informatica, questo progetto è importante perché supporta automazione rapida, accoppiamento debole e chiari audit trail tra strumenti e servizi.
I difensori usano pipeline basate sugli eventi in SIEM, SOAR, sicurezza cloud e analisi del malware per concatenare rilevamenti, arricchire gli avvisi, mettere in quarantena i file e avviare azioni di risposta non appena compare un trigger. Lo stesso schema può essere abusato dagli attaccanti: se un attaccante può scrivere in una cartella monitorata, in una coda o in un archivio di oggetti, potrebbe attivare l'elaborazione malevola, preparare i payload o nascondere l'attività nel rumore normale del flusso di lavoro. Una buona sicurezza dipende quindi dall'autenticazione degli eventi, dalla convalida degli input e dalla limitazione delle azioni che un trigger può avviare.