L'analisi della causa radice è il processo di individuazione della vulnerabilità o dell'azione iniziale che ha permesso l'avvio di un'intrusione. Nella sicurezza informatica, ciò significa risalire oltre il malware visibile o l'account sospetto per identificare il primo punto di ingresso, come una credenziale rubata, un servizio esposto, il phishing o un sistema non aggiornato.
È importante perché rimuovere un singolo payload non impedisce a un attaccante di tornare se la stessa via esiste ancora. Durante la risposta agli incidenti, gli analisti esaminano i log di autenticazione, la telemetria degli endpoint, l'attività di rete e le modifiche di configurazione per ricostruire come è stato ottenuto l'accesso e se è stata aggiunta persistenza. Una buona analisi della causa radice trasforma la pulizia in prevenzione: aiuta i difensori a chiudere la falla, eliminare le possibilità di rientro e rafforzare i controlli in modo che la stessa catena di attacco non possa essere riutilizzata.