La registrazione degli incidenti è la pratica di memorizzare i record delle attività che aiutano i team di sicurezza a ricostruire ciò che è accaduto durante un evento sospetto. Questi record possono includere tentativi di autenticazione, modifiche ai file, connessioni di rete, azioni amministrative e avvisi degli strumenti di sicurezza. Log ben fatti creano una cronologia che supporta le indagini, il contenimento e le successive attività di reporting.
Nella sicurezza informatica, la registrazione degli incidenti è importante perché gli aggressori spesso cercano di cancellare le proprie tracce, mentre i difensori hanno bisogno di prove per confermare o smentire una compromissione. I log possono mostrare se un account è stato usato in modo insolito, se un sistema è stato accessibile da una posizione inattesa o se un server web è cambiato in un modo che corrisponde a un'intrusione. Una registrazione robusta aiuta anche i team di risposta agli incidenti a preservare le prove, correlare gli eventi tra i sistemi e distinguere una vera violazione da un falso allarme. Senza log affidabili, diventa molto più difficile provare cosa è stato accesso, quando è accaduto e fin dove si è estesa l'attività.