La rimozione degli indicatori è la pratica di eliminare o alterare le prove che indicano che un sistema è stato compromesso. Gli aggressori possono cancellare i log degli eventi, eliminare i file rilasciati, cancellare la cronologia dei comandi, rimuovere attività pianificate oppure manomettere le voci del registro e le tracce di controllo. L'obiettivo è rendere più difficile la risposta agli incidenti nascondendo cosa è successo, quando è successo e quali strumenti sono stati usati.
Nella sicurezza informatica, la rimozione degli indicatori è importante perché i difensori si affidano agli artefatti per ricostruire un attacco e definirne la portata. Spesso compare dopo l'accesso iniziale, una volta che un intruso ha eseguito comandi, predisposto payload o esfiltrato dati. Le difese si concentrano su registrazione centralizzata, archiviazione dei log immutabile o write-once, avvisi sulle azioni di cancellazione dei log e monitoraggio di comportamenti anomali di pulizia sugli endpoint. Anche quando le prove vengono eliminate localmente, i team di sicurezza possono spesso ricostruire la storia dal telemetria di rete, dai backup e dai sensori dell'host.