La convalida dell'identità è il processo di verifica se attività, accessi o divulgazioni sospetti corrispondano davvero a un utente, account, dispositivo o sistema legittimo. In pratica, i difensori confrontano i segnali di accesso, la cronologia delle sessioni, l'indirizzo IP, le richieste MFA, le impronte digitali del dispositivo e i record della directory per vedere se il comportamento è coerente con l'identità dichiarata.
Questo è importante perché gli aggressori spesso si nascondono dietro credenziali rubate, account di servizio abusati o false rivendicazioni pubbliche. Un post su ransomware, per esempio, può nominare una vittima prima che esistano prove interne. La convalida dell'identità aiuta i team a distinguere le voci da una compromissione confermando se l'account nominato ha effettivamente effettuato l'accesso, se il percorso di accesso era normale e se l'attività dei servizi o dei dati è coerente con il comportamento noto. È un passaggio fondamentale nella risposta agli incidenti, nella revisione delle frodi e nel controllo degli accessi perché evita reazioni eccessive a dichiarazioni non verificate, facendo comunque emergere i reali indicatori di intrusione.