Una finestra di monitoraggio è un periodo pianificato di revisione intensificata dei log, degli avvisi e dell'analisi del comportamento dopo che un sistema è stato patchato, isolato o altrimenti rimediaato. I team di sicurezza la usano per cercare segnali che indicano che un aggressore aveva già accesso, che una vulnerabilità è stata sfruttata prima della correzione o che la remediation ha introdotto effetti collaterali inattesi.
Questo è importante perché molti attacchi non sono evidenti nel momento in cui una falla viene chiusa. Gli avversari possono lasciare backdoor, creare nuovi account o attivare payload ritardati che compaiono solo più tardi nei log o nel traffico di rete. Durante una finestra di monitoraggio, i difensori in genere confrontano le attività prima e dopo la correzione, ispezionano gli eventi di autenticazione, esaminano la telemetria degli endpoint e delle applicazioni e cercano connessioni anomale o modifiche ai file. In pratica, è un ponte tra il contenimento e le normali operazioni: il sistema è di nuovo online, ma la fiducia non è ancora stata completamente ripristinata.