L’attribuzione delle modifiche è la capacità di collegare una modifica rilevata a un file alla sua fonte, ad esempio un utente, un processo, un host o un’altra attività. Nel monitoraggio dell’integrità dei file (FIM), aggiunge un contesto a un avviso che altrimenti indicherebbe soltanto che un file è stato aggiunto, eliminato o modificato.
Questo contesto aiuta i team di sicurezza a distinguere le attività di manutenzione o la distribuzione di software approvate da quelle sospette e a indagare sulle modifiche in modo più efficiente. Negli ambienti reali, i difensori possono confrontare i dettagli dell’attribuzione con i processi previsti, le finestre di manutenzione o i registri delle modifiche. L’attribuzione non dimostra di per sé che una modifica fosse autorizzata, ma fornisce agli analisti elementi utili per decidere cosa indagare e come intervenire.