I record di connessione sono registri che catturano il modo in cui dispositivi, utenti e servizi comunicano. Spesso includono indirizzi IP di origine e di destinazione, porte, timestamp, dettagli del protocollo e, a volte, identificatori dell'utente o della sessione. Nelle operazioni di sicurezza, questi record aiutano i team a ricostruire le attività, confermare quali sistemi hanno comunicato tra loro e individuare percorsi insoliti all'interno di una rete.
Sono importanti perché possono esporre la struttura di un ambiente anche quando il contenuto è crittografato. Gli aggressori li apprezzano per lo stesso motivo: i record di connessione possono rivelare servizi interni, relazioni di fiducia, punti di accesso remoti e schemi che supportano un successivo movimento laterale. I difensori li usano nel monitoraggio, nella risposta agli incidenti e nel threat hunting per identificare movimenti laterali, esfiltrazione di dati, traffico di comando e controllo o utilizzo inatteso di servizi. Quando un annuncio di riscatto sostiene di avere accesso ai record di connessione, può indicare che un aggressore ha ottenuto una visibilità sufficiente a mappare le relazioni all'interno della rete.