Gli eventi di autenticazione sono registrazioni create quando un utente, un servizio o un dispositivo tenta di dimostrare la propria identità e ottenere l'accesso. Di solito includono accessi, controlli falliti della password, richieste di autenticazione a più fattori, uso di token, creazione di sessioni e blocchi dell'account. I team di sicurezza fanno affidamento su queste registrazioni perché mostrano chi ha tentato di accedere a cosa, da dove e quando.
Nella sicurezza informatica, gli eventi di autenticazione aiutano i difensori a individuare attacchi brute-force, credential stuffing, viaggi impossibili, nuovi dispositivi insoliti e accessi remoti sospetti. Sono particolarmente utili durante le indagini su ransomware, in cui gli aggressori spesso abusano di credenziali rubate prima di crittografare i sistemi o rubare dati. Esaminare i log di autenticazione può confermare se un incidente dichiarato ha coinvolto un reale abuso dell'account, oppure se l'attività era normale. Sono una fonte chiave di prove, ma dovrebbero essere verificati insieme ai log di file, endpoint e rete per avere un quadro completo.