Uno strato di segnali è una fonte di evidenza usata in una decisione di sicurezza, ma non sufficiente a decidere da sola. Può includere la reputazione dell'IP, la postura del dispositivo, il comportamento dell'utente, la geolocalizzazione, i modelli DNS o la cronologia di autenticazione. Ogni segnale aggiunge contesto e l'obiettivo è combinare diversi indizi deboli in una valutazione del rischio più solida.
Questo è importante perché gli attaccanti spesso si nascondono dietro proxy, host cloud, account rubati o infrastrutture usa e getta, il che può rendere inaffidabile qualsiasi singolo indicatore. I difensori usano gli strati di segnali nell'arricchimento, nel triage degli alert e nel punteggio del rischio per ridurre il rumore e dare priorità all'indagine. Un IP ad alto rischio, per esempio, può aiutare a spiegare un traffico sospetto, ma dovrebbe comunque essere valutato insieme ai dati di identità, sessione e comportamento prima che un analista o un sistema automatizzato emetta un verdetto.