La finestra forense è il periodo durante il quale le prove di un incidente di sicurezza rimangono disponibili per essere raccolte ed esaminate. Può ridursi quando gli aggressori eliminano i log, sovrascrivono i file o ripristinano sistemi alterati, oppure quando la rotazione periodica dei log o la conservazione limitata rimuovono i dati.
Questo è importante perché un sistema che sembra pulito dopo un incidente non dimostra che non sia mai stato compromesso. In un breve episodio di manomissione della supply chain del software, i contenuti del server potrebbero essere stati ripristinati prima che gli investigatori li esaminino. I difensori possono estendere la finestra forense conservando log e snapshot, mantenendo la telemetria degli endpoint e della rete e registrando le attività pertinenti in sistemi centralizzati. Queste registrazioni indipendenti possono contribuire a stabilire che cosa è accaduto anche dopo che il sistema originale è cambiato.