La convalida dell'account è il processo di verifica se gli accessi di utenti o amministratori si comportano normalmente oppure mostrano segni di abuso. I team di sicurezza esaminano i modelli di accesso, le variazioni dei privilegi, le posizioni, le impronte dei dispositivi, gli accessi falliti, i reimpostazioni delle password e gli orari di accesso insoliti per individuare attività sospette. L'obiettivo è confermare che un account venga utilizzato dal suo vero proprietario e non da un attaccante che ha rubato credenziali o preso il controllo di una sessione.
Questo è importante perché gli account compromessi sono uno dei modi più rapidi per entrare in una rete. Negli attacchi reali, gli avversari usano spesso nomi utente e password validi per mimetizzarsi, muoversi lateralmente, accedere ai backup o preparare un'estorsione. I difensori usano la convalida dell'account durante la risposta agli incidenti per decidere se disabilitare l'accesso, forzare reimpostazioni, richiedere l'autenticazione multifattore o monitorare ulteriori abusi. È un controllo pratico che aiuta a distinguere le normali operazioni dai primi segnali di intrusione.