L'attività di autenticazione è il registro dei tentativi di accesso, delle autenticazioni riuscite, dei ripristini delle password, dei prompt per l'autenticazione a più fattori, dell'uso dei token e di altri controlli dell'identità su un sistema. Mostra chi ha cercato di accedere a un account, quando l'ha fatto, da dove e se il tentativo è stato accettato o bloccato. Nel lavoro di sicurezza, questi dati sono uno dei modi più rapidi per individuare accessi sospetti.
Gli aggressori spesso lasciano indizi nei registri di autenticazione prima o dopo una violazione: ripetuti accessi non riusciti, viaggi impossibili, accessi da paesi insoliti, uso di credenziali vecchie o accessi in orari inconsueti. I difensori esaminano l'attività di autenticazione per confermare se una segnalazione, un avviso o la segnalazione di un utente corrispondano al reale comportamento del sistema. Insieme ai registri di sistema e di configurazione, aiuta a identificare attacchi brute-force, credential stuffing, takeover dell'account e movimento laterale.