Un indicatore preliminare è un segnale iniziale che suggerisce un possibile problema di sicurezza e giustifica un esame più approfondito, anche prima che siano disponibili prove complete. Nella sicurezza informatica, non è la prova di una compromissione; è un indizio che qualcosa potrebbe richiedere un'indagine.
Gli indicatori preliminari sono importanti perché gli attaccanti spesso si rivelano in modi piccoli e iniziali: una pagina vittima, tentativi di autenticazione insoliti, nuovo traffico in uscita o segnali di preparazione dei dati. I difensori usano questi segnali per dare priorità ai controlli, raccogliere registri di conferma e decidere se intensificare la risposta. Un indicatore preliminare forte può aiutare i team ad agire più rapidamente, ma dovrebbe sempre essere convalidato con prove tecniche come avvisi sugli endpoint, registri di rete, backup e attività delle identità.