Una query di rilevamento è una regola di ricerca o un'espressione analitica usata per individuare attività sospette nella telemetria di sicurezza. Può essere scritta per una piattaforma SIEM, XDR, EDR o di log, e in genere filtra, raggruppa e confronta gli eventi per mettere in evidenza modelli che possono indicare una compromissione. Tra gli esempi comuni ci sono ricerche di catene di processi padre-figlio rare, connessioni in uscita insolite, impossible travel o beacon di command-and-control.
Le query di rilevamento sono importanti perché gli addetti alla difesa dipendono da esse per trasformare i log grezzi in alert e risultati di hunting attivabili. Se la query presuppone un formato dati specifico, può non rilevare un'attività anche quando l'evento è presente. Ad esempio, la telemetria di rete può memorizzare un indirizzo in una rappresentazione diversa da quella attesa dall'analista, quindi la normalizzazione e una gestione attenta dei campi diventano fondamentali. Gli attaccanti traggono vantaggio da query fragili perché i mancati rilevamenti creano punti ciechi, mentre i difensori migliorano la copertura testando le regole su telemetria reale, codifiche varianti ed edge case.