I log preservati sono registri di sicurezza conservati in uno stato affidabile e resistente alla manomissione, in modo che gli investigatori possano in seguito determinare cosa è successo, quando è successo e quali sistemi o account erano coinvolti. Spesso includono eventi di autenticazione, attività dei processi, connessioni di rete, accesso ai file e azioni amministrative.
Sono importanti perché gli aggressori possono eliminare, alterare o sovrascrivere i log per nascondere un'intrusione, l'escalation dei privilegi, il movimento laterale o il furto di dati. Una buona conservazione dei log significa raccogliere rapidamente i record, memorizzarli in un sistema केंदralizzato, sincronizzare le fonti temporali e limitare l'accesso, in modo che le prove rimangano affidabili. Nelle difese reali, i log preservati aiutano a confermare o smentire un'affermazione di ransomware, ricostruire il percorso di un attacco, supportare la risposta agli incidenti e fornire materiale per la revisione legale o di conformità.