La verifica difensiva è il processo volto a controllare se un presunto incidente informatico sia autentico, quali sistemi o dati interessi e se siano ancora in corso attività malevole. Consente di distinguere i risultati supportati da prove dalle affermazioni, come l’inserimento pubblico di una vittima nell’elenco di un gruppo ransomware, che di per sé potrebbe non provare una violazione.
I team di sicurezza verificano le affermazioni esaminando i log pertinenti, l’attività degli account, gli avvisi degli endpoint, il traffico di rete e gli indicatori di accesso o esfiltrazione dei dati. Valutano inoltre la portata dell’incidente e verificano se i sistemi siano ancora esposti o compromessi. Questo aiuta a orientare il contenimento e il ripristino, evitando conclusioni premature. In pratica, la verifica dovrebbe essere tempestiva e basata sulle prove: un’affermazione merita di essere indagata, ma la sua accuratezza e il suo impatto devono essere accertati in modo indipendente.