I registri degli incidenti sono registrazioni di eventi di sicurezza raccolte da sistemi, applicazioni, reti e strumenti di sicurezza durante un'intrusione o un sospetto incidente. Di solito includono timestamp, identificatori di utente o host, azioni eseguite, avvisi attivati e messaggi di errore. Registri ben fatti creano una cronologia che aiuta i difensori a ricostruire cosa è successo, in quale ordine e su quali asset.
Nella sicurezza informatica, i registri degli incidenti sono essenziali per il rilevamento, l'indagine e il ripristino. Gli analisti li usano per individuare accessi anomali, modifiche dei privilegi, esecuzione di malware, movimento laterale ed esfiltrazione di dati. Durante un attacco, i registri possono rivelare il punto di accesso iniziale e il percorso dell'attaccante. In difesa, supportano il triage degli avvisi, l'analisi forense e la reportistica sugli incidenti. Se i registri sono incompleti, alterati o conservati per troppo poco tempo, i responsabili della risposta possono perdere le prove necessarie per confermare l'impatto o contenere la minaccia.