La verifica della compromissione è il processo di esame delle prove per determinare se un aggressore ha effettivamente avuto accesso a un sistema o lo ha compromesso. Un’affermazione di un attore delle minacce o la presenza di una vittima in un elenco possono costituire un segnale di allarme, ma nessuno dei due elementi, da solo, conferma un’intrusione.
I difensori verificano le sospette compromissioni correlando i log di autenticazione e di sistema con la telemetria degli endpoint, l’attività di rete e altri registri disponibili. Possono inoltre cercare modifiche non autorizzate, traffico in uscita insolito, indizi di accesso ai dati e verificare l’integrità dei backup. Ciò aiuta a distinguere un tentativo di attacco o un’affermazione non comprovata da una violazione confermata e favorisce una risposta proporzionata basata sulle prove.