Un tripwire è un innesco nascosto che genera un allarme quando qualcuno tocca, apre, esegue o interroga qualcosa che dovrebbe rimanere inutilizzato nelle normali operazioni. Si tratta di un controllo di rilevamento difensivo, non di un blocco: l'obiettivo è creare un segnale ad alta affidabilità che indichi che un attore non autorizzato ha interagito con un file esca, un account, un servizio o una configurazione.
I tripwire sono importanti perché gli aggressori esperti spesso si affidano a credenziali valide e a strumenti ordinari, facendo sembrare la loro attività legittima. Un tripwire posizionato bene può rivelare ricognizione, movimento laterale o abuso di credenziali prima degli strumenti basati su firme. In pratica, i difensori associano i tripwire a flussi di monitoraggio e risposta, così che un allarme porti a triage, indagine e contenimento. Il loro valore dipende dal realismo, dal posizionamento accurato e dall'assunzione che gli utenti legittimi non li attiveranno mai.