L'estrazione del fenotipo è il processo di conversione di sintomi, osservazioni e altre evidenze narrative in caratteristiche strutturate che il software può analizzare. Nell'IA sanitaria, ciò può significare trasformare note cliniche, codici e risultati di laboratorio in una rappresentazione coerente della presentazione di un paziente. In ambito di sicurezza, la stessa idea si applica quando dati non strutturati vengono normalizzati in indicatori come comportamenti, tipi di evento, timestamp e relazioni.
Questo è importante nella sicurezza informatica perché i sistemi di rilevamento sono validi solo quanto le caratteristiche che ricevono. Una buona estrazione del fenotipo può aiutare le difese a individuare schemi nei log, a smistare più rapidamente gli incidenti e a classificare le ipotesi più probabili durante le indagini. Un'estrazione debole, al contrario, può nascondere segnali importanti, amplificare i pregiudizi o creare una falsa sicurezza. Anche gli aggressori possono trarne vantaggio quando i difensori trascurano schemi rari o disordinati, mentre i difensori usano analisi sintattica, provenienza e validazione solide per mantenere il set di caratteristiche accurato e verificabile.