I segnali di identità sono indicatori di account e accesso che mostrano come si comporta un utente o un servizio. Includono gli orari di accesso, le impronte del dispositivo, gli indirizzi IP, le richieste MFA, i token di sessione, le modifiche ai ruoli e l'uso insolito dei privilegi. I team di sicurezza confrontano questi segnali con i modelli normali per decidere se l'attività sembra legittima o sospetta.
Sono importanti perché molti attacchi riescono abusando di account validi invece di violare direttamente i sistemi. Una password rubata, una sessione dirottata o un'approvazione MFA supportata da phishing possono sembrare normali a prima vista, ma i segnali di identità possono rivelare anomalie come viaggi impossibili, nuovi dispositivi, ripetuti accessi non riusciti o accessi da località inconsuete. In difesa, questi segnali aiutano a verificare se una dichiarazione pubblica, un avviso o un elenco di vittime corrisponde alla reale attività dell'account prima di trarre conclusioni.