La convalida dei privilegi è il processo di verifica che l'accesso agli account con privilegi elevati sia legittimo, necessario e ancora autorizzato. Dopo una segnalazione sospetta o un altro avvertimento, i difensori esaminano gli account privilegiati, gli accessi recenti, le autorizzazioni e le modifiche ai ruoli o alle credenziali. Possono revocare gli accessi che non possono essere verificati, disabilitare gli account compromessi e richiedere un'autenticazione più forte.
Questo è importante perché un aggressore con privilegi di amministratore o di account di servizio può accedere a sistemi sensibili, modificare i controlli di sicurezza o interrompere le attività. Negli attacchi reali, gli avversari possono rubare credenziali o sfruttare gli accessi esistenti per ottenere privilegi elevati. I difensori usano revisioni degli accessi e registri di audit per individuare attività insolite e limitare l'esposizione. Una rivendicazione pubblica di ransomware, da sola, non prova che ci sia stata un'intrusione, ma può indurre a effettuare verifiche accurate mentre gli investigatori preservano le prove e accertano che cosa è successo.