Il percorso di telemetria è la catena che trasferisce i dati di sicurezza dai punti di raccolta all'analisi e alla generazione di avvisi. Su un host Linux, ciò può includere probe del kernel, programmi eBPF, agenti, buffer locali e un backend che genera un avviso. Se una parte qualsiasi di quella catena viene modificata, filtrata o disabilitata, il team di sicurezza potrebbe non vedere mai l'evento.
Questo è importante perché gli difensori spesso si fidano della telemetria per dimostrare che un modulo del kernel è stato caricato, che un processo è stato avviato o che una policy è stata violata. Gli aggressori possono colpire il percorso di telemetria invece del rilevatore stesso, manomettendo mappe, filtri, code o autorizzazioni in modo che l'attività sospetta venga soppressa alla fonte. Nelle difese reali, la risposta consiste nel trattare i controlli di telemetria come stato critico per la sicurezza, monitorare la salute della pipeline e corroborare gli avvisi con log indipendenti, genealogia dei processi, record dei pacchetti e indicatori del kernel. Un programma di rilevamento affidabile non dipende da un solo sensore.