Un segnale di triage è un indizio che indica ai difensori di verificare rapidamente un'affermazione, un avviso o un artefatto prima di trarre conclusioni. Non è di per sé una prova di compromissione; piuttosto, è un invito a controllare i log, gli inventari degli asset, la telemetria degli endpoint e le segnalazioni degli utenti.
I segnali di triage sono importanti perché i team di sicurezza spesso si trovano di fronte a informazioni incomplete o fuorvianti, come un hash sospetto, un nome della vittima oscurato, un'etichetta per l'attore della minaccia o un improvviso aumento dei guasti di autenticazione. Nelle operazioni reali, questi segnali aiutano gli analisti a decidere cosa esaminare per primo e se un evento meriti un'escalation. Un buon triage riduce gli sforzi sprecati e impedisce false supposizioni, mentre un triage errato può consentire a una vera intrusione di confondersi nel rumore di fondo. Nei flussi di lavoro difensivi, un segnale di triage è il punto di partenza per la convalida, non il traguardo.