Un segnale operativo è un indizio che qualcosa possa richiedere un esame tecnico più approfondito, anche se non è ancora una prova di compromissione. Può trattarsi di un'affermazione sospetta, di un nuovo hash, di modelli di accesso insoliti, di una modifica del servizio o di un report che non corrisponde ancora alle evidenze interne. Nel contesto della cybersecurity, il valore di un segnale operativo sta nel fatto che aiuta i team a decidere dove guardare dopo.
Questo è importante perché gli attaccanti spesso generano rumore prima che i difensori dispongano di tutti i fatti. Un post di ransomware, per esempio, può giustificare il controllo dei log, dei registri di accesso, degli avvisi degli endpoint e dell'integrità del servizio. I difensori usano i segnali operativi per fare rapidamente triage, separare le voci dalle prove ed evitare di reagire eccessivamente ad affermazioni non verificate. Il segnale non è l'incidente in sé; è l'invito a verificare se un incidente sia effettivamente presente.