La ricostruzione forense è il processo di ricostruire ciò che è accaduto durante un incidente informatico esaminando log, artefatti del file system, tracce di rete, record di autenticazione e altre evidenze tecniche. L'obiettivo è stabilire una cronologia affidabile: come è avvenuto l'ingresso, quali sistemi sono stati toccati, a quali dati potrebbe essere stato acceduto e se l'attaccante abbia lasciato percorsi di persistenza o di esfiltrazione.
È importante perché i primi rapporti sugli incidenti spesso confermano solo fatti parziali. La ricostruzione aiuta i difensori a passare dal sospetto alla prova, il che è essenziale per le decisioni di contenimento, le segnalazioni legali e il recupero. Negli attacchi reali, gli analisti possono correlare i log VPN, le tracce di audit cloud, la cronologia degli accessi ai repository, la telemetria degli endpoint e i residui di file eliminati per tracciare l'attività dell'attaccante. Viene usata anche in modo difensivo dopo gli allarmi, così i team possono verificare se un tentativo bloccato fosse innocuo o se l'accesso non autorizzato abbia raggiunto risorse sensibili.