I registri di autenticazione sono registrazioni dell'attività di accesso, come nomi utente, timestamp, indirizzi IP di origine, dettagli del dispositivo, esiti positivi o negativi e il metodo utilizzato per autenticarsi. Sono uno dei primi punti che gli investigatori esaminano quando devono capire chi ha accesso a un sistema e come tale accesso è stato ottenuto.
Nella sicurezza informatica, questi registri sono importanti perché molte intrusioni iniziano con credenziali rubate, password spraying, tentativi di brute-force o abuso di strumenti di accesso remoto. L'analisi dei registri di autenticazione può rivelare viaggi impossibili, orari di accesso insoliti, tentativi falliti ripetuti, nuove posizioni o accessi da dispositivi non familiari. I difensori li usano per confermare se un'affermazione su un leak site, un avviso o una segnalazione di phishing è supportata da prove di accesso effettivo. Un buon logging e una buona conservazione dei dati supportano anche la risposta agli incidenti aiutando i team a ricostruire la sequenza temporale, identificare gli account compromessi e contenere ulteriori abusi.