Un flusso operativo dell'attacco è la sequenza di attività che un intruso utilizza per perseguire un obiettivo. Può includere ricognizione, verifiche alla ricerca di vulnerabilità, ottenimento dell'accesso, escalation dei privilegi, esplorazione dei sistemi e azioni successive, come la visualizzazione o la copia di dati. I passaggi possono sovrapporsi o cambiare man mano che l'attaccante reagisce alle difese e alle nuove informazioni.
Comprendere il flusso operativo aiuta i difensori a indagare sugli incidenti e a interrompere gli attacchi in più punti. Ad esempio, verifiche insolite possono essere rilevate prima che venga ottenuto l'accesso, mentre il monitoraggio dell'attività degli account e dei registri delle applicazioni può rivelare ricerche o esportazioni sospette dopo l'accesso. Gli strumenti assistiti dall'IA possono accelerare alcune fasi di questo processo, come la ricognizione o la creazione di script, ma il loro uso, da solo, non permette di stabilire come sia stato ottenuto l'accesso né se siano stati sottratti dati. Ricostruire gli eventi a partire da registri affidabili aiuta a distinguere i tentativi dalle conseguenze confermate.