L'emulazione dell'attaccante è una formazione difensiva che ricrea deliberatamente il comportamento, gli strumenti e le tattiche di un avversario reale in un ambiente controllato. A differenza della formazione generale sulla consapevolezza, si concentra su ciò che gli attaccanti fanno realmente: accesso iniziale, escalation dei privilegi, movimento laterale, persistenza ed esfiltrazione o interruzione. Negli ambienti industriali, l'ambiente è di solito un laboratorio o una replica isolata dei sistemi operativi, così i team possono esercitarsi senza mettere a rischio la produzione.
Questo è importante perché i buoni difensori devono capire i percorsi di attacco, non solo le vulnerabilità. L'emulazione aiuta i team di sicurezza a testare i rilevamenti, convalidare gli avvisi, misurare i tempi di risposta e individuare lacune nella segmentazione, nel logging e nei playbook di risposta agli incidenti. Compare comunemente negli esercizi purple-team, nelle simulazioni di breach-and-attack e nei laboratori OT, dove gli operatori si esercitano contro scenari realistici. L'obiettivo non è imitare il crimine per il gusto di farlo, ma rendere le difese più efficaci mostrando come si muoverebbe un intruso e dove verrebbe fermato.