La misurazione indiretta significa apprendere qualcosa su un sistema osservandone gli effetti invece della cosa stessa. Nella sicurezza informatica, gli difensori spesso non possono vedere direttamente il malware, il furto di credenziali o l'esfiltrazione dei dati, quindi li inferiscono da sintomi come flussi di rete insoliti, comportamento dei processi, errori di autenticazione, pattern DNS o cambiamenti nell'uso delle risorse. Questo approccio è importante perché molti attacchi sono progettati per nascondersi all'ispezione diretta, mentre i log e la telemetria espongono comunque tracce.
La misurazione indiretta fa anche parte della tecnica di attacco. Gli avversari possono usare canali laterali, differenze di temporizzazione, comportamento della cache o analisi del traffico per apprendere segreti che non possono leggere direttamente. I difensori usano lo stesso principio per il rilevamento, correlando segnali deboli tra endpoint, server e reti per costruire fiducia in un incidente. La sfida principale è separare il segnale reale dal rumore: una singola anomalia può essere innocua, ma pattern ripetuti su più misurazioni possono rivelare compromissione, persistenza o perdita di dati.