Un indicatore automatizzato è una metrica calcolata da un sistema a partire dai dati raccolti per mostrare le prestazioni, lo stato di salute o una deviazione da una baseline. Nel campo della cybersecurity, questi indicatori sono spesso costruiti a partire da dati di telemetria come l'attività di accesso, i flussi di rete, gli eventi degli endpoint o i tempi di risposta dei servizi. Tra gli esempi comuni figurano i tassi di accessi falliti, volumi anomali di trasferimento dati o cambiamenti improvvisi nel comportamento dei processi.
Gli indicatori automatizzati sono importanti perché trasformano grandi quantità di dati grezzi in segnali su cui gli analisti possono agire rapidamente. I difensori li usano in sistemi di monitoraggio, SIEM, EDR e rilevamento delle anomalie per individuare minacce, dare priorità agli avvisi e misurare se i controlli stanno funzionando. Gli aggressori possono tentare di eluderli o distorcerli mimetizzandosi nel normale comportamento, ritardando le azioni rumorose o compromettendo i dati di origine. Per questo motivo gli indicatori devono basarsi su input affidabili ed essere interpretati nel contesto, non considerati prova in sé e per sé.