La prova contestuale è un indizio il cui significato dipende da dove è stato trovato e da ciò che lo circondava. Nella sicurezza informatica, un singolo artefatto raramente racconta l'intera storia: un hash, una riga di comando, una chiave di registro, una voce di log o una connessione di rete diventano più utili quando gli analisti conoscono il processo padre, l'account utente, l'orario, l'host e la sequenza di eventi attorno a essi. Senza quel contesto, lo stesso indicatore può sembrare legittimo, sospetto o privo di significato.
Questo è importante perché gli aggressori spesso lasciano tracce parziali e i difensori devono ricostruire l'intento a partire dai frammenti. Ad esempio, un comando PowerShell può essere normale in un flusso di lavoro amministrativo ma altamente sospetto se viene avviato da un allegato di posta elettronica e contatta un server sconosciuto. Allo stesso modo, il timestamp di un file, una query DNS o un artefatto di memoria possono supportare l'analisi di un'intrusione solo se confrontati con la telemetria circostante. La prova contestuale aiuta i responsabili della risposta agli incidenti a evitare reazioni eccessive a indizi isolati e, invece, a costruire conclusioni solide dalle relazioni tra gli artefatti.