Una campagna di intrusione è uno sforzo coordinato per penetrare in un ambiente bersaglio e mantenere l'accesso abbastanza a lungo da raggiungere un obiettivo, come lo spionaggio, il furto di dati o la distribuzione di ransomware. Di solito combina diverse fasi: ricognizione, phishing, abuso di credenziali, movimento laterale, persistenza ed esfiltrazione o sabotaggio. La campagna può coinvolgere un singolo operatore o un team più ampio, ma l'idea chiave è un'attività sostenuta e organizzata, anziché un singolo tentativo di accesso isolato.
Questo termine è importante perché i difensori devono cercare schemi che emergono da più eventi, non solo da un singolo avviso. Negli attacchi reali, una campagna di intrusione spesso lascia tracce come accessi ripetuti da posizioni insolite, modifiche nel comportamento degli account, nuovi strumenti remoti o rapidi cambiamenti nelle tattiche dell'attaccante. I team di sicurezza rispondono correlando i log, effettuando attività di threat hunting per individuare la persistenza, limitando i privilegi e monitorando cambiamenti anomali nei flussi di lavoro che suggeriscono la presenza di un punto d'appoggio attivo.