La copertura delle minacce è la gamma di attività malevole che un controllo di sicurezza può rilevare, bloccare o aiutare a indagare. È un modo pratico per chiedersi: "Quali tipi di attacchi vede davvero questo strumento?" Un prodotto può coprire allegati di phishing, malware noti, script sospetti, movimento laterale o comportamenti anomali dei processi, ma comunque non rilevare altre tecniche come l'abuso di living-off-the-land, payload crittografati o attacchi basati sull'identità.
Nella difesa informatica, la copertura delle minacce è importante perché nessun singolo controllo protegge contro ogni tecnica. I team usano il termine per confrontare strumenti endpoint, filtri email, sensori di rete e rilevamenti cloud, e per individuare le lacune che gli aggressori possono sfruttare. Una copertura solida non significa prevenzione perfetta; può anche significare produrre telemetria utile per la risposta agli incidenti e la threat hunting. I buoni difensori mappano la copertura ai reali metodi di attacco, quindi aggiungono controlli sovrapposti in modo che un singolo punto cieco non diventi una via di compromissione.