L'attività sotto soglia è un'azione ostile progettata per rimanere al di sotto del livello che normalmente farebbe scattare una risposta armata formale, pur creando danni strategici. Nella sicurezza informatica, questo spesso significa operazioni piccole ma persistenti come ricognizioni, intrusioni limitate, interruzioni di breve durata, sabotaggio occulto o disinformazione che si colloca al di sotto della soglia del conflitto aperto.
È importante perché sfrutta l'incertezza. Evitando un attacco chiaro e spettacolare, l'attore rende più difficile l'attribuzione e rallenta il processo decisionale. I difensori possono vedere eventi separati che, singolarmente, sembrano minori, ma che insieme formano una campagna. Una difesa efficace dipende dal correlare i segnali tra reti, spazio aereo, intelligence e comunicazioni, quindi dal rispondere con controlli a più livelli, condivisione rapida e attribuzione disciplinata prima che l'attività si accumuli in un danno più grave.