I registri dell'incidente sono i log, le note, le schermate, gli aggiornamenti dei ticket e le voci della timeline raccolti durante o dopo un incidente di sicurezza. Aiutano i difensori a ricostruire ciò che è accaduto: quale sistema è stato colpito per primo, quali account utente sono stati toccati, quali comandi o malware sono stati osservati e come è progredita la risposta.
Sono importanti perché gli attacchi sono spesso disordinati e incompleti. Buoni registri conservano prove per l'analisi forense, la revisione legale e successive attività di threat hunting, anche dopo che i sistemi sono stati ricostruiti. Nei casi di ransomware, i registri dell'incidente possono mostrare fino a che punto si è estesa l'intrusione, quali dati potrebbero essere stati accessibili e quali controlli hanno fallito. Registri solidi supportano anche un migliore contenimento e recupero, aiutando i team a evitare di ripetere gli stessi errori.