Un risultato nullo è un esito in cui un test non rileva il segnale che stava cercando. In ambito di cybersecurity, ciò può accadere quando una regola di rilevamento delle intrusioni, una scansione malware, una prova di porta o una query di threat hunting non restituisce alcuna corrispondenza. Questo non significa automaticamente che non ci sia nulla; può voler dire che l'attacco era assente, nascosto, bloccato o al di sotto della soglia di rilevamento.
I risultati nulli sono importanti perché aiutano i team di sicurezza a escludere ipotesi e a restringere i limiti di ciò che sta accadendo in un sistema. Per i difensori, un risultato nullo può confermare che un controllo sta filtrando il traffico, che una firma è troppo restrittiva o che la telemetria è incompleta. Negli attacchi, gli avversari possono mirare a creare risultati nulli riducendo il rumore, eludendo le firme o confondendosi con l'attività normale. In entrambi i casi, l'assenza di un rilevamento è una scoperta tecnica utile, non solo un esito vuoto.