Un segnale di rischio è un indicatore che qualcosa potrebbe meritare una revisione di sicurezza, anche se il compromesso non è stato confermato. In pratica, è più debole di una prova di violazione, ma più forte del rumore di fondo. Esempi includono un post di estorsione che nomina un sito, schemi di accesso insoliti, cambiamenti improvvisi nei file, oppure un nuovo hash o identificatore che appare nell'affermazione di un attore della minaccia.
I segnali di rischio sono importanti perché i difensori spesso devono agire prima che il quadro completo sia noto. Aiutano i team a dare priorità ai log, preservare le prove, controllare l'attività degli account e verificare se un sito web, un server o un servizio connesso sia stato effettivamente colpito. Negli attacchi, i criminali possono usare i segnali di rischio per creare pressione e forzare una risposta. Nella difesa, gli analisti li trattano come attivatori per la convalida, non come conclusioni. La regola chiave è semplice: un segnale di rischio giustifica un'indagine, ma da solo non prova un'intrusione, un furto di dati o un'interruzione.