Il rilevamento autonomo è un'analisi di sicurezza che funziona con un intervento umano minimo. Utilizza regole, modelli, telemetria e contesto delle minacce per identificare comportamenti sospetti, classificare gli avvisi o attivare risposte predefinite senza attendere che un analista esamini ogni evento. In pratica, si colloca tra il semplice invio di avvisi e la remediation completamente automatizzata.
È importante perché gli ambienti moderni generano più dati di quanti i team possano ispezionare manualmente. Il rilevamento autonomo può ridurre il tempo di permanenza, individuare attacchi lenti e graduali e aiutare i difensori a tenere il passo con reti rumorose. Negli attacchi, può rilevare movimenti laterali, attività anomala dei processi o modifiche impreviste dei dispositivi. Nella difesa, può isolare gli endpoint, sopprimere gli avvisi duplicati o raccomandare i passaggi successivi. Nella tecnologia operativa, tuttavia, l'autonomia deve essere attentamente limitata: inventari incompleti degli asset, baseline non sicure e sistemi di controllo fragili possono rendere rischiosa un'eccessiva automazione. L'approvazione umana, la validazione e i controlli di rollback restano importanti.