L'indagine sui reati informatici è il processo di raccolta, conservazione e analisi di prove digitali in un sospetto reato online. Può coinvolgere log, immagini dei dispositivi, registri degli account, traffico di rete, dati cloud e altri artefatti che aiutano a ricostruire cosa è successo, quando è successo e chi potrebbe essere stato coinvolto.
Nella sicurezza informatica, questo lavoro è importante perché gli attacchi spesso lasciano solo tracce parziali. Una buona indagine può confermare un'intrusione, misurare l'impatto, supportare il contenimento e fornire prove per le forze dell'ordine o per azioni legali. Negli incidenti reali, gli investigatori cercano indicatori come accessi insoliti, tracce di malware, schemi di esfiltrazione dei dati e modifiche alle autorizzazioni di accesso. I difensori si affidano anche ai metodi di indagine dopo un allarme: preservano le prove, mantengono la catena di custodia e costruiscono una cronologia in modo da poter rispondere senza distruggere le evidenze. Se svolta bene, l'indagine sui reati informatici trasforma il rumore tecnico in prove che possono resistere in tribunale.