Imagine que você chegue em sua casa e perceba que ela foi aparentemente violada. O que você faz? Procura por pistas como: vidros quebrados, marcas na maçaneta, trincos forçados, portas arrombadas, objetos desaparecidos, em resumo, sinais que caracterizem e permitam estabelecer a magnitude da violação.
Analogamente, nos sistemas computacionais, intrusos deixam pistas, porém, diferente do "mundo real", as pistas estão nos registros de atividades do sistema, o qual denominamos de logs. Melhor ainda, os logs podem desempenhar um papel preventivo, na medida em que podem registrar as eventuais tentativas de ataque, porém o administrador tem que ficar atento para não ser gerados dados em excesso.