I registri di autenticazione sono log che mostrano quando un utente, un servizio o un dispositivo ha cercato di provare la propria identità. Possono includere accessi riusciti e falliti, creazione di sessioni, uso di token, richieste MFA, indirizzi IP, timestamp e dettagli del dispositivo. Nel lavoro di sicurezza, questi registri sono uno dei primi posti in cui gli analisti guardano quando devono determinare se un account è stato usato dal suo vero proprietario o da un attaccante.
Sono importanti perché molte intrusioni iniziano con credenziali rubate, phishing, furto di token o abuso di sessioni valide. I registri di autenticazione possono rivelare geografie insolite, spostamenti impossibili, fallimenti ripetuti, nuovi dispositivi o accessi in orari insoliti. I difensori li usano per confermare un'affermazione, tracciare il movimento laterale, supportare la risposta agli incidenti e decidere se un allarme riflette una vera compromissione o un'attività normale. Una registrazione e una conservazione efficaci rendono questi registri molto più utili sia per il rilevamento sia per l'indagine.