La decomposizione è la pratica di suddividere un compito complesso in parti più piccole e più facili da gestire. Nella sicurezza informatica, significa separare un problema come un'intrusione, un campione di malware o una modifica rischiosa del sistema in elementi distinti come accesso iniziale, escalation dei privilegi, persistenza e furto di dati. Questo rende l'analisi più chiara e aiuta i difensori a concentrarsi su un componente alla volta.
È importante perché gli attacchi raramente hanno successo con un solo semplice passaggio. I team di sicurezza usano la decomposizione per mappare un incidente, assegnare il lavoro e individuare l'anello debole. Per esempio, un'email sospetta può essere esaminata scomponendola nella reputazione del mittente, nei link, negli allegati e nel comportamento del payload. Anche gli aggressori usano la decomposizione quando costruiscono strumenti o campagne per fasi, il che rende ogni fase più facile da testare, modificare o nascondere. Una buona risposta agli incidenti dipende da questa capacità: se riesci a separare il problema, puoi indagarlo, contenerlo e risolverlo in modo più efficace.