La correlazione interna è la pratica di confrontare un nuovo indicatore, come un hash, un indirizzo IP, un dominio, un nome utente o un nome di processo, con i log e i record esistenti di un'organizzazione. L'obiettivo è trovare corrispondenze, schemi o attività correlate che potrebbero non essere evidenti dal solo nuovo indicatore. La correlazione può essere effettuata su telemetria degli endpoint, log di autenticazione, record DNS, log proxy, tracce email e note storiche dei casi.
Nella sicurezza informatica, la correlazione interna è importante perché le prove isolate raramente dimostrano un'intrusione. Una segnalazione di minaccia o un singolo artefatto possono sembrare convincenti, ma abbinarli ai dati interni può mostrare se compaiono nel traffico reale, su un host o in incidenti passati. I difensori usano questo approccio per confermare una compromissione, delimitare i sistemi interessati e distinguere i falsi allarmi dagli avvisi realmente azionabili. Anche gli attaccanti possono trarne vantaggio quando verificano se un file riutilizzato o un elemento di infrastruttura collega più campagne, ma per i difensori il valore sta nella verifica: trasformare un singolo indicatore sospetto in un quadro più ampio, basato sulle evidenze.