Il triage di verifica è il primo controllo difensivo usato per determinare se un avviso, un rapporto o un'asserzione rifletta una reale attività malevola. Si tratta di una revisione rapida e strutturata delle prove più immediate: log, dati degli endpoint, eventi di autenticazione, flussi di rete, hash dei file e segnalazioni degli utenti.
Nella sicurezza informatica, il triage di verifica è importante perché non ogni avvertimento corrisponde a un'intrusione confermata. Un post di ransomware, un allarme di phishing o un'anomalia possono rivelarsi un falso positivo, un evento benigno o solo un incidente parziale. Il triage aiuta i difensori a evitare reazioni eccessive pur mantenendo la rapidità. Gli analisti confrontano comunemente l'asserzione con indicatori interni, cercano attività corroboranti e decidono se passare a una risposta agli incidenti più approfondita. Sia negli attacchi sia nelle difese, un buon triage di verifica riduce il rumore, concentra le risorse e previene conclusioni premature.