Un'operazione in più fasi è una campagna cyber costruita da fasi collegate, come il sondaggio di un bersaglio, l'esecuzione di un'azione, il controllo del risultato e l'adeguamento della mossa successiva. Ogni fase può essere piccola da sola, ma insieme formano un percorso d'attacco coordinato o un flusso di lavoro difensivo.
Questo è importante perché molte intrusioni non riescono al primo tentativo. Gli aggressori possono riprovare con strumenti diversi, cambiare tattica dopo un blocco o ricostruire parti mancanti dell'operazione. I difensori vedono questo come un problema di campagna, non solo come un problema di alert. In pratica, i team di sicurezza cercano ricognizioni ripetute, passaggi insoliti tra strumenti e tentativi sostenuti nel tempo. La stessa idea compare anche nei test difensivi: esercitazioni basate su scenari e framework come MITRE ATT&CK aiutano gli analisti a modellare come un'operazione si sviluppa attraverso più fasi, invece di trattare ogni evento come isolato.