Le prove di attacco sono l'insieme delle tracce che un incidente lascia dietro di sé: log, avvisi, modifiche ai file, connessioni di rete, attività degli account, artefatti del malware e dati eliminati ma recuperabili. Queste tracce possono essere piccole, ma aiutano i difensori a ricostruire cosa è successo, quando è successo e quanto lontano si è spostato l'attaccante.
Nella sicurezza informatica, le prove contano perché molti attacchi sono invisibili mentre sono in corso. Spyware, phishing e accessi non autorizzati possono passare inosservati se i log vengono disattivati, i messaggi vengono cancellati o l'attività del dispositivo è breve. Le funzionalità che preservano le prove di attacco cercano di mantenere intatte le tracce utili, così chi risponde agli incidenti può indagare, confermare la compromissione e decidere se il contenimento basta o se è necessario un ripristino completo. Buone prove supportano anche l'attribuzione, la segnalazione e il rafforzamento futuro. Senza di esse, i difensori restano a indovinare, il che rallenta la risposta e può nascondere la prossima mossa dell'attaccante.