Una traccia degli accessi è l’insieme dei log e delle altre registrazioni che mostrano come sono stati utilizzati account, dispositivi e sistemi. Può includere eventi di autenticazione, connessioni di accesso remoto, attività delle sessioni e modifiche alle autorizzazioni o alle impostazioni degli account.
Durante un sospetto incidente informatico, i difensori usano le tracce degli accessi per verificare se l’accesso non era autorizzato, individuare gli account e i sistemi interessati e ricostruire una cronologia. Accessi insoliti, località sconosciute o modifiche impreviste ai privilegi possono indicare attività sospette, anche se ogni indizio deve essere convalidato. Conservate tempestivamente i log pertinenti, poiché le registrazioni potrebbero essere sovrascritte o alterate; trattatele come prove, non come una prova di per sé.