L'audit degli eventi in tempo reale è la raccolta e la revisione continue delle attività di sistema e degli account mentre avvengono, o con pochissimo ritardo. Negli strumenti di sicurezza, ciò significa in genere registrare le modifiche alle identità, le azioni di condivisione dei file, le modifiche alle policy, le azioni amministrative e altri eventi sensibili, per poi renderli rapidamente visibili per la revisione.
È importante perché molti attacchi hanno successo attraverso modifiche piccole e rapide: un attaccante crea un nuovo account, concede privilegi aggiuntivi, modifica un link di condivisione o disabilita un controllo prima che un audit di routine possa accorgersene. L'audit in tempo reale aiuta i difensori a individuare prima questi cambiamenti, ridurre il dwell time e preservare le prove mentre l'attività è ancora recente. In pratica, compare nelle piattaforme SIEM, nelle console di amministrazione cloud e negli strumenti di governance che generano avvisi su accessi sospetti, modifiche dei permessi o schemi di accesso insoliti. È più efficace quando i log sono completi, sincronizzati nel tempo e monitorati da qualcuno che possa intervenire sull'avviso.