Detection-as-code è la pratica di trattare i rilevamenti di sicurezza come software. Regole, query, parser e logica sono archiviati nel controllo di versione, revisionati tramite pull request, testati in staging o su telemetria storica e poi distribuiti in modo ripetibile. Invece di modificare manualmente gli alert in una console, i team gestiscono i rilevamenti con la stessa disciplina usata per il codice applicativo.
Questo è importante perché la logica di rilevamento cambia spesso man mano che gli attaccanti adattano i loro strumenti, l'infrastruttura e il comportamento. Con detection-as-code, i difensori possono tracciare chi ha modificato una regola, confrontare le revisioni, ripristinare gli aggiornamenti errati e automatizzare la distribuzione su piattaforme SIEM, EDR, cloud o identity. Nelle operazioni reali, questo aiuta a trasformare più rapidamente l'intelligence sulle minacce o nuovi modelli di attacco in rilevamenti convalidati, riducendo al tempo stesso gli alert rumorosi e la deriva delle configurazioni. Inoltre crea una traccia di audit più chiara su come un rilevamento è stato costruito, testato e approvato.