Un trigger di verifica è un avviso, un'affermazione o un'anomalia che dovrebbe sollecitare una revisione interna prima che qualcuno tragga conclusioni. Nella sicurezza informatica, non è una prova di compromissione; è un segnale che qualcosa potrebbe meritare un controllo immediato. Esempi includono un elenco pubblico di vittime di ransomware, attività di accesso inattesa, modifiche insolite ai file o un rapporto proveniente da uno strumento di monitoraggio.
Questo è importante perché i segnali iniziali sono spesso incompleti o fuorvianti. Trattarli come fatti confermati può causare panico o cattive decisioni, mentre ignorarli può lasciare un'intrusione non affrontata. Una buona risposta consiste nel verificare i registri di autenticazione, i servizi esposti, il comportamento degli endpoint, i backup e l'attività degli account, quindi confrontare questi risultati con l'avviso. Nelle difese reali, i trigger di verifica aiutano i team ad agire rapidamente, mantenere un approccio basato sulle prove e separare il sospetto dall'impatto confermato.