La correlazione degli indicatori è la pratica di confrontare indizi provenienti da sistemi diversi per determinare se descrivano lo stesso evento di sicurezza. Quegli indizi possono includere hash, indirizzi IP, nomi di file, orari di accesso, ID degli avvisi, modifiche al registro o percorsi di rete. Un singolo indicatore può essere fuorviante se considerato da solo, ma più indicatori che coincidono tra log e strumenti possono costruire un quadro più solido.
Questo è importante nella sicurezza informatica perché gli aggressori spesso lasciano prove parziali e rumorose. I difensori usano la correlazione per distinguere tra una vera intrusione, un falso positivo e un incidente non correlato. Nelle indagini sul ransomware, ad esempio, un hash pubblicato, la telemetria degli endpoint e i log del firewall possono essere confrontati per confermare se una dichiarazione corrisponde all'attività interna. Una buona correlazione accelera il triage, migliora la fiducia nell'attribuzione e aiuta a definire l'ambito dei sistemi interessati prima che inizino le azioni di risposta.