Una revisione dei privilegi è un controllo degli account utente, dei ruoli e delle autorizzazioni di livello elevato dopo un sospetto evento di sicurezza. Verifica chi può amministrare i sistemi, leggere dati sensibili, reimpostare password, creare nuovi account o approvare l'accesso. I team di sicurezza confrontano i privilegi attuali con i baseline approvati per individuare modifiche insolite, accessi eccessivamente ampi o account che avrebbero dovuto essere rimossi.
Questo è importante perché gli attaccanti spesso prendono di mira gli account privilegiati per espandere il controllo, disabilitare le difese o esfiltrare dati. In un incidente reale, una revisione dei privilegi può rivelare credenziali amministrative rubate, un account operatore aggiunto di recente o un accesso eccessivo concesso a causa di una configurazione errata. I difensori la usano per confermare se un allarme riguarda un singolo utente o se ha raggiunto sistemi critici, e per decidere se ruotare le credenziali, revocare l'accesso e rafforzare i controlli sugli account.