I log del server sono registrazioni automatiche create dai server web e delle applicazioni. Di solito acquisiscono timestamp, indirizzi IP di origine, URL richiesti, codici di risposta, user agent e messaggi di errore. Nel lavoro di sicurezza, queste registrazioni aiutano a mostrare chi si è connesso, cosa ha richiesto e se il server ha restituito risultati insoliti.
I log del server sono importanti perché spesso sono il modo più rapido per verificare o smentire una dichiarazione di compromissione. Gli investigatori li usano per individuare tentativi di accesso anomali, richieste ripetute, scraping, tentativi di exploit, download inattesi o segni che siano state accessibili pagine sensibili. Negli attacchi reali, gli intrusi possono cercare di eliminare, alterare o sommergere i log per nascondere l'attività, quindi i difensori spesso conservano i log in modo केंदralizzato e li confrontano con i dati del firewall, dell'autenticazione e degli endpoint. Una buona analisi dei log trasforma un'accusa vaga in una prova.