La revisione dell'attività dell'account è il processo di controllo di accessi, reimpostazioni della password, modifiche dei privilegi, accessi ai file e altri eventi dell'account per individuare segnali di uso improprio. I team di sicurezza la usano per individuare anomalie come accessi da posizioni non familiari, tentativi falliti ripetuti, nuove regole di inoltro o cambiamenti improvvisi delle autorizzazioni. È un controllo basilare ma importante perché molte intrusioni iniziano con un nome utente e una password validi, non con un malware.
Nelle attacchi reali, gli attori della minaccia spesso cercano di confondersi con l'ambiente dopo aver ottenuto l'accesso, quindi i primi indizi possono comparire nei registri di autenticazione o di audit invece che in avvisi evidenti. Una revisione regolare può far emergere precocemente il furto di credenziali, l'abuso da parte di insider e il furto di account, limitando i danni. Dal punto di vista difensivo, questa revisione supporta la risposta agli incidenti, aiuta a confermare se una dichiarazione pubblica rifletta un accesso reale e fornisce evidenze per decidere se disabilitare gli account, imporre reimpostazioni o rafforzare l'autenticazione multifattore.