I tentativi bloccati sono richieste o azioni che un controllo di sicurezza ferma prima che vengano completate. I controlli possono includere un firewall per applicazioni web, un sistema di prevenzione delle intrusioni, una protezione degli endpoint o regole di accesso. Un blocco significa che il controllo ha rilevato e respinto un'attività; da solo, non dimostra se un attacco sarebbe riuscito né se un sistema fosse stato compromesso in altro modo.
Negli attacchi reali, gli scanner automatizzati e gli strumenti di exploit possono inviare richieste ripetute a siti vulnerabili. Le difese possono bloccare queste richieste e registrarle nei log o nei dati di telemetria. I conteggi aiutano a indicare l'attività di attacco e a valutare se i controlli funzionano, ma possono includere tentativi di sondaggio ripetuti e non devono essere considerati intrusioni confermate. Esaminate i log pertinenti, verificate che i sistemi siano aggiornati con le patch e cercate segni di esecuzione riuscita o modifiche impreviste.