Rilevamento e mitigazione sono i passaggi difensivi usati per notare attività ostili e limitarne l'impatto. Rilevamento significa identificare comportamenti sospetti, come accessi anomali, modifiche dei privilegi, movimento laterale o abuso della directory. Mitigazione significa ridurre la probabilità che l'attività abbia successo o si diffonda, ad esempio revocando l'accesso, isolando i sistemi, irrigidendo i controlli o bloccando i percorsi di attacco noti.
Nel campo della sicurezza informatica, i due aspetti lavorano insieme. Un buon rilevamento offre ai difensori visibilità sulle tecniche di attacco, soprattutto nei sistemi di identità come Active Directory, dove piccoli cambiamenti possono avere effetti ampi. Una buona mitigazione riduce il rischio anche quando un attaccante ottiene un punto d'appoggio, perché rafforzamento, segmentazione, principio del privilegio minimo e risposta rapida possono impedire che il furto di credenziali o l'abuso della fiducia si trasformino in una compromissione completa. Le indicazioni basate sulle tecniche sono preziose perché associano ogni metodo di attacco ad avvisi specifici e a miglioramenti dei controlli.