Il backtesting è la pratica di eseguire una regola di rilevamento candidata su dati storici di sicurezza prima della sua distribuzione. I team di sicurezza lo usano per stimare quanti alert genererebbe la regola, quanti sarebbero probabilmente falsi positivi e se la logica corrisponde davvero alla telemetria che raccolgono.
Questo è importante perché una detection che sulla carta sembra solida può diventare inutilizzabile se è troppo rumorosa o troppo restrittiva. Nei workflow di detection engineering e detection-as-code, il backtesting aiuta gli analisti a regolare le soglie, confrontare le versioni delle regole e scartare logiche fragili prima che raggiungano la produzione. Supporta anche un uso più rapido delle threat intelligence trasformando indicatori o comportamenti in detection testabili. Tuttavia, il backtesting è solo un'anteprima: un attaccante può cambiare infrastruttura, tempistica o tecnica, e una regola che appare pulita in una finestra storica potrebbe comunque fallire in condizioni reali.