La telemetria della riga di comando è la raccolta di log e segnali comportamentali derivati dall'attività nel terminale, nella shell o negli script. Può includere i comandi eseguiti, l'avvio dei processi, gli argomenti, le relazioni padre-figlio tra processi, gli eventi di incolla, le scritture su file e le connessioni di rete avviate dalla riga di comando. Su macOS e su altre piattaforme, questi dati aiutano i difensori a vedere cosa è accaduto dopo che un utente ha aperto Terminale o dopo l'esecuzione di uno script.
È importante perché molti attacchi moderni non iniziano con uno sfruttamento software. Si basano invece sull'ingegneria sociale per indurre un utente a incollare o eseguire comandi forniti dall'attaccante. La telemetria della riga di comando può rivelare schemi sospetti come comandi codificati, downloader inattesi, estrazione di archivi, controlli dei privilegi o accessi ripetuti a directory sensibili. I team di sicurezza la usano per individuare esecuzioni dannose, analizzare cosa è stato eseguito e distinguere il normale lavoro amministrativo dall'abuso. In difesa, una buona visibilità del terminale può trasformare un breve errore dell'utente in un evento rilevabile.