Una traccia di identità è un record o un indizio che collega l'attività online a un account, dispositivo o accesso specifico. Può includere nomi utente, indirizzi email, identificatori del dispositivo, indirizzi IP, registri di autenticazione, dati di sessione o dettagli di recupero. Nelle indagini informatiche, queste tracce aiutano gli analisti a collegare un alias, una macchina o un account di servizio a un operatore del mondo reale o a un gruppo più ampio.
Le tracce di identità sono importanti perché molti attacchi non vengono risolti solo con l'analisi del malware. Difensori e investigatori spesso si affidano ai registri di audit, ai record di accesso e all'attività degli account per ricostruire chi ha accesso a cosa, quando e da dove. Gli aggressori cercano di nascondere queste tracce con VPN, account rubati, infrastrutture usa e getta o identità riutilizzate, ma piccoli errori possono comunque rivelare schemi. Per i team di sicurezza, preservare i registri e monitorare il comportamento degli account rende possibile convalidare gli incidenti, supportare l'attribuzione e trasformare un sospetto in prova.