DFIR sta per Digital Forensics and Incident Response. È la disciplina che consiste nell'individuare, preservare, analizzare e riportare prove digitali dopo un evento di sicurezza, contenendo e sradicando al tempo stesso la minaccia. Il lavoro DFIR deve preservare la catena di custodia e l'integrità delle prove, in modo che gli investigatori possano avere fiducia in log, immagini disco, acquisizioni di memoria, artefatti degli endpoint e dati di timeline.
Nelle operazioni reali, DFIR viene usato per determinare come è avvenuta un'intrusione, quali sistemi sono stati colpiti e se le azioni dell'attaccante hanno modificato file, account o configurazioni. Inoltre guida le attività di risposta, come isolare gli host, revocare le credenziali e raccogliere dati volatili prima che scompaiano. Le piattaforme e gli strumenti DFIR sono a loro volta sistemi ad alta fiducia, quindi il controllo degli accessi, l'autenticazione e la registrazione degli audit sono fondamentali. Se questi controlli falliscono, gli attaccanti possono manomettere le prove, alterare le impostazioni o cancellare le proprie tracce, compromettendo sia l'indagine sia lo sforzo difensivo più ampio.