Il bias di campionamento è una distorsione causata quando i dati che raccogli sovrarappresentano alcuni comportamenti e ne sottorappresentano altri. Nella sicurezza informatica, questo è importante perché log, avvisi e telemetria vengono spesso trattati come se descrivessero l'intero ambiente, quando in realtà possono catturare solo ciò che un determinato strumento, interfaccia o gruppo di utenti può vedere.
Gli aggressori possono sfruttare il bias di campionamento mimetizzandosi nelle parti di un sistema meno osservate, come attività a basso volume, protocolli rari o comportamenti che rientrano al di fuori dei dati di addestramento di una regola di rilevamento. I difensori lo osservano nel threat hunting, nel monitoraggio degli endpoint e nelle analisi di chatbot o SOC quando il concetto di