La conservazione delle prove è la pratica di mantenere intatti log, immagini disco, dati di memoria, file, avvisi e altri artefatti in modo che possano essere esaminati in un secondo momento. Nella sicurezza informatica, ciò significa evitare azioni che sovrascrivano, cancellino o modifichino materiale che può spiegare come si sia verificata un'intrusione, a cosa sia stato effettuato l'accesso e se i dati siano stati rubati.
Questo è importante perché gli incidenti di ransomware, phishing, abuso interno e malware spesso lasciano solo tracce parziali. Una buona conservazione delle prove supporta l'analisi forense, la risposta agli incidenti, la revisione legale e le decisioni di ripristino. In genere i difensori isolano i sistemi interessati, raccolgono copie dei log rilevanti, registrano i timestamp e mantengono la catena di custodia prima di apportare modifiche importanti. Gli aggressori possono cercare di cancellare o manomettere le prove svuotando i log, eliminando strumenti o usando file temporanei, il che rende la conservazione precoce particolarmente importante.