Il rilevamento nella pipeline è un'analisi di sicurezza che avviene mentre i dati sono ancora in movimento attraverso una pipeline di raccolta o elaborazione, prima che vengano scritti in un archivio a lungo termine o esaminati in un secondo momento. La pipeline può essere un raccoglitore di log, un processore di flussi, un bus di messaggi o un agente di sicurezza che ispeziona gli eventi in tempo reale.
Questo è importante perché controlli più precoci possono generare avvisi più rapidamente, ridurre i costi di archiviazione e indicizzazione e, a volte, fermare un attacco prima. In pratica, i difensori usano il rilevamento nella pipeline per corrispondere modelli come accessi non riusciti, righe di comando sospette o indicatori noti di malware mentre gli eventi passano attraverso il sistema. Il compromesso è che la pipeline diventa parte della superficie di controllo della sicurezza: parsing, normalizzazione e regolazione delle regole devono essere affidabili, altrimenti gli aggressori possono nascondersi in dati malformati e i difensori possono essere sommersi da falsi positivi. Il rilevamento nella pipeline è più efficace quando è affiancato da un'analisi successiva nell'archiviazione completa dei log.