La copertura dei log indica in quale misura i sistemi importanti registrano e conservano eventi che possono aiutare a stabilire chi vi ha effettuato l’accesso, quando si è verificata un’attività e se determinate azioni erano sospette. Le registrazioni utili possono provenire da servizi di identità, dispositivi endpoint, server, piattaforme cloud e controlli di rete. La copertura dipende non solo dalla generazione dei log, ma anche dalla loro raccolta, protezione e conservazione per un periodo adeguato.
Durante un’intrusione sospetta o un incidente ransomware, lacune nella registrazione possono rendere più difficile verificare i percorsi di accesso, determinare le tempistiche, valutare cosa potrebbe essere stato interessato e distinguere le prove da un’affermazione non confermata. I difensori migliorano la copertura individuando i sistemi critici, abilitando gli eventi di audit pertinenti, centralizzando i log, limitandone le modifiche e verificando che sia possibile cercare le registrazioni nel corso di un’indagine. I log supportano la verifica, ma da soli non dimostrano che un attacco sia avvenuto o non sia avvenuto.