La copertura di rilevamento è il grado in cui i controlli di sicurezza possono osservare e segnalare tecniche malevole specifiche. Non è una misura vaga del "disporre di log"; chiede invece se un'azione nota, come il credential dumping, una PowerShell sospetta o il movimento laterale, produca telemetria che i difensori possano effettivamente vedere e a cui possano rispondere.
Questo è importante perché gli attaccanti hanno successo restando al di sotto della soglia di visibilità. Se la copertura è debole, un attacco può proseguire senza generare un avviso utile anche quando sono presenti strumenti di monitoraggio. In pratica, i difensori misurano la copertura tecnica per tecnica, usando framework come MITRE ATT&CK, per individuare lacune nelle fonti di dati, nella logica degli avvisi o nei flussi di lavoro degli analisti. Una copertura forte non significa che ogni evento venga bloccato; significa che lo stack di sicurezza può rilevare, spiegare e supportare in modo affidabile la risposta al comportamento testato.