La post-elaborazione è qualsiasi passaggio eseguito dopo l'evento principale o la raccolta dei dati per modificare l'aspetto del risultato, il suo funzionamento o il modo in cui viene interpretato. In ambito di sicurezza informatica, ciò può significare analizzare i log grezzi, normalizzare i dati degli avvisi, estrarre indicatori, redigere le informazioni riservate, comprimere le prove o generare report dalla telemetria.
È importante perché i difensori raramente usano direttamente l'output grezzo. Gli strumenti di sicurezza dipendono dalla post-elaborazione per trasformare dati rumorosi in qualcosa di analizzabile, ricercabile e su cui agire. Allo stesso tempo, gli aggressori possono cercare di confondere o aggirare questi passaggi usando codifiche insolite, campi malformati, trucchi sui timestamp o log poisoning, così che gli eventi importanti vengano nascosti o interpretati male. Una buona post-elaborazione è quindi parte della qualità del rilevamento: può migliorare la velocità di indagine, ma deve essere verificata per evitare di perdere prove o creare punti ciechi.