La revisione degli eventi di identità è il processo di controllo dell'attività degli account, dei registri di accesso, delle modifiche ai privilegi e degli eventi di accesso per individuare segnali di uso improprio. Si concentra sui dati di identità come accessi degli utenti, reimpostazioni delle password, nuove registrazioni di dispositivi, accessi non riusciti, richieste MFA e modifiche dei ruoli.
Questo è importante perché molte intrusioni iniziano con credenziali rubate o con l'abuso di account legittimi. Un'analisi accurata può rivelare viaggi impossibili, orari di accesso insoliti, attività amministrative inattese o accessi a sistemi che non corrispondono al comportamento normale. In un caso di estorsione, persino la semplice affermazione non verificata di una vittima può spingere i difensori a esaminare per prima cosa gli eventi di identità, poiché la compromissione dell'account può essere il primo segnale affidabile. I team di sicurezza usano queste verifiche per confermare se una minaccia è reale, valutarne l'estensione e decidere se reimpostare le credenziali, revocare le sessioni o disabilitare gli account sospetti. È un passaggio basilare ma fondamentale per verificare una compromissione.