La registrazione con evidenza di manomissione significa registrare eventi di sicurezza e di sistema in modo da rendere rilevabile qualsiasi alterazione successiva. I registri possono non essere impossibili da modificare, ma sono progettati in modo che modifiche, cancellazioni o riordinamenti lascino tracce evidenti. Le tecniche comuni includono hash crittografici, archiviazione solo in append, firme digitali e copie fuori sede o scrivibili una sola volta.
Questo è importante perché i registri sono spesso la principale prova di ciò che è accaduto durante un'intrusione o in un caso di abuso interno. Se un aggressore può cancellare accessi falliti, nascondere azioni con privilegi elevati o riscrivere i timestamp, chi difende perde visibilità e potrebbe non essere in grado di fidarsi delle tempistiche dell'incidente. In pratica, la registrazione con evidenza di manomissione supporta le indagini forensi, la conformità e la revisione di modifiche sensibili come le modifiche ai metadati nelle raccolte digitali. È più efficace se associata a controlli di accesso, cronologia delle versioni e monitoraggio indipendente in grado di confrontare i record tra sistemi.