Una finestra di rilevamento è il tempo tra una compromissione e il momento in cui i difensori la scoprono. Durante questa finestra, gli attaccanti possono rubare dati, muoversi lateralmente, creare backdoor o cancellare prove mentre l'organizzazione continua a credere che i sistemi siano normali. Più lunga è la finestra, più tempo ha un intruso per approfondire l'accesso e aumentare il costo della risposta.
Le finestre di rilevamento di solito si ampliano quando gli avvisi vengono persi, i log sono incompleti o l'applicazione delle patch viene ritardata sui sistemi esposti. Un avviso dell'antivirus non letto può essere un segnale precoce che nessuno ha preso in carico, mentre un sistema di gestione dei contenuti non aggiornato può lasciare un bersaglio esposto a Internet aperto molto tempo dopo che esiste una correzione. Le difese che riducono questa finestra includono la presa in carico degli avvisi, la registrazione centralizzata, il monitoraggio degli asset e una rapida gestione delle patch. In pratica, ridurre la finestra di rilevamento spesso conta quanto impedire la compromissione iniziale.