L'interpretazione del segnale è il processo di attribuire significato a dati osservati, avvisi o attività. Nelle operazioni di sicurezza, il "segnale" può essere una voce di registro, un evento endpoint, traffico di rete o un cambiamento nel comportamento di un utente. L'interpretazione non consiste mai solo nella lettura dei dati grezzi; richiede contesto, come baseline normali, criticità dell'asset, tempi e tecniche note degli aggressori.
Questo è importante perché un contesto incompleto può trasformare il rumore in un falso allarme o nascondere una vera intrusione. In pratica, i difensori usano l'interpretazione del segnale quando smistano gli avvisi SIEM ed EDR, decidono se ripetuti tentativi di accesso falliti siano un attacco brute-force o distinguono un uso sospetto di PowerShell da una normale attività di amministrazione. Anche gli aggressori sfruttano un'interpretazione debole mescolando attività malevole con comportamenti che sembrano normali, inondando gli strumenti di rumore o usando tecniche living off the land, così che le loro azioni assomiglino a operazioni legittime. Buone difese migliorano l'interpretazione del segnale con correlazione, arricchimento e revisione umana.