L'attività degli endpoint è il registro degli eventi prodotti dai dispositivi degli utenti, dai server, dai laptop e dalle workstation. Include accessi, avvii di processi, modifiche ai file, connessioni di rete, uso dei privilegi e avvisi di sicurezza. Questi segnali a livello di dispositivo aiutano i difensori a individuare accessi o comportamenti insoliti che potrebbero non essere evidenti dai soli log di rete.
Nella sicurezza informatica, l'attività degli endpoint è importante perché molti attacchi emergono per primi sull'host in cui viene eseguito il malware o in cui approda un intruso. Gli operatori del ransomware possono disabilitare gli strumenti di sicurezza, creare nuovi account amministrativi, muoversi lateralmente o modificare molti file in un breve periodo. Gli analisti esaminano la telemetria degli endpoint, gli avvisi EDR e i log di audit per confermare se un elenco di vittime, un tentativo di phishing o una sospetta violazione corrispondano a un reale compromesso. Un comportamento di base pulito rende più facile rilevare tempestivamente le anomalie e contenere un incidente prima che vengano प्रभावितi altri sistemi.