La localizzazione della minaccia è il processo di individuazione precisa di dove si sta verificando un'attività sospetta o malevola all'interno di una rete, di un host o di un sistema cyber-fisico. Va oltre la semplice rilevazione: una volta che esiste un allarme, i difensori devono ancora trovare il dispositivo, la subnet, il processo, l'utente o il segmento di controllo interessato.
Questo è importante perché la velocità di risposta dipende dall'accuratezza. Nella sicurezza aziendale, la localizzazione aiuta gli analisti a isolare gli endpoint compromessi, tracciare il movimento laterale e ridurre il raggio d'azione di ransomware o intrusioni. Nelle infrastrutture critiche, come la rete elettrica, può aiutare a distinguere un vero evento informatico dal rumore dei sensori, dai guasti delle apparecchiature o da dati errati, il che è essenziale quando gli operatori devono agire rapidamente. Gli strumenti di sicurezza usano log, telemetria, dati di pacchetto e modelli comportamentali per localizzare le minacce, ma il risultato deve comunque essere verificato dagli esseri umani quando il sistema è critico per la sicurezza.