L'analisi dei dati è l'uso di dati strutturati per individuare schemi, tendenze e anomalie difficili da notare nei record grezzi. Nella sicurezza informatica, trasforma log, avvisi, flussi di rete e attività degli account in evidenze che possono essere confrontate nel tempo. Una buona analisi aiuta i team a rispondere a domande pratiche: quale comportamento dell'utente è normale, quale sistema sta cambiando troppo rapidamente e quale sequenza di eventi suggerisce un uso improprio anziché un'attività di routine?
È importante perché gli aggressori spesso si nascondono nel rumore. L'analisi può rivelare picchi sospetti di accessi, trasferimenti di dati insoliti, modifiche ripetute a contratti o configurazioni, oppure una piccola deviazione che diventa chiara solo quando molti record vengono uniti insieme. I difensori usano lo stesso approccio per il rilevamento, l'indagine e la convalida dei controlli, mentre gli aggressori possono cercare di eluderlo mimetizzandosi, distribuendo l'attività nel tempo o corrompendo la fonte dei dati. Il suo valore dipende dalla qualità dei dati, da una registrazione coerente e da una traccia di audit affidabile.