L'attività malevola confermata è un evento o un insieme di eventi che è stato esaminato e giudicato realmente dannoso, non autorizzato o chiaramente collegato a un attaccante. È più di un semplice alert grezzo: gli analisti hanno esaminato le prove ed escluso il normale comportamento dell'utente, una configurazione errata o un falso positivo. Questa distinzione è importante perché il volume degli alert può essere fuorviante, mentre l'attività malevola confermata offre ai difensori una visione più pulita di ciò che sta realmente accadendo.
In pratica, la conferma può derivare da segnali come accessi impossibili, abuso di account validi, uso sospetto di token, esecuzione di malware o attività correlate nei log di identità, endpoint e cloud. I team di sicurezza usano questa etichetta per dare priorità alla risposta, mettere a punto le rilevazioni e misurare le tendenze delle minacce senza conteggiare il rumore. Un alto tasso di attività malevola confermata di solito significa che l'ambiente è oggetto di attacchi attivi, oppure che i controlli non riescono a bloccare alcuni attacchi prima che abbiano un impatto.