Un ID di correlazione è un identificatore condiviso associato a eventi correlati, che consente di collegarli tra servizi, applicazioni e registri. Per esempio, un sistema può mantenere lo stesso ID dalla richiesta di un agente di IA, attraverso un orchestratore e una chiamata a uno strumento, fino all’approvazione o all’azione risultante.
Nella cybersicurezza, gli ID di correlazione aiutano i difensori a ricostruire le attività, indagare sugli errori e distinguere un flusso di lavoro da un altro quando i record sono distribuiti tra più sistemi. Non dimostrano chi ha avviato un’azione né se fosse autorizzata, quindi dovrebbero essere usati insieme a identità, indicazioni temporali, autorizzazioni e registri a prova di manomissione. Evitare di riutilizzare gli ID per operazioni non correlate e mantenerli coerenti attraverso i confini tra sistemi.