Muchos procesos diferentes corren en nuestros dispositivos como portátiles, móviles, etc. Algunos de estos procesos son interactivos, lo que significa que puedes realizar acciones como jugar a un juego o ver un vídeo. También hay algunos que no son interactivos corriendo en segundo plano, simplemente son necesarios. Cualquiera de estos dos tipos de procesos, al realizar acciones, deja un rastro llamado evento (log).
Los eventos se generan en números enormes, regularmente. Esto es porque muchos procesos corren en un mismo dispositivo, cada uno realizazndo diferentes rutinas, generando numerosos eventos. ¿Cómo comprobamos si estos numerosos eventos apuntan a algo peligroso o destructivo ocurriendo en el ordenador? Ahí entran en juego las soluciones de seguridad.
Cuando una solución de seguridad encuentra un evento o grupo de estos asociado a una posible actividad dañina, dispara una alerta. El equipo de seguridad analiza esta alerta. Algunas son falsos positivos, mientras que otras pueden ser verdaderos positivos.
Las alertas de verdaderos positivos son Incidentes. Asumiendo que la alerta es un incidente, el próximo paso es darle un nivel de severidad. Se pueden categorizar los incidentes como Low, Medium, High o Critical.