La telemetria degli accessi è la registrazione delle attività di autenticazione e di sessione, come i tentativi di accesso, gli accessi riusciti, la creazione di sessioni e i dispositivi o i luoghi coinvolti. Può provenire da provider di identità, applicazioni, VPN e altri sistemi di accesso.
Durante un'indagine, i difensori usano questi dati per verificare se è stato effettuato l'accesso a un account o a un sistema, distinguere le attività sospette dall'uso abituale e stabilire una cronologia. Gli accessi riusciti inaspettati, i dispositivi sconosciuti o gli schemi di sessione insoliti possono indicare una compromissione, mentre i soli tentativi non riusciti non provano che un'intrusione sia riuscita. Conservate e correlate questi registri con le prove provenienti dagli endpoint e dalla rete; lacune nella registrazione o periodi di conservazione brevi possono rendere più difficile verificare i risultati.