Angreifer werden versuchen, ihre Spuren zu verwischen. Daher sollte das Monitoring-System Alarm geben, wenn Protokolle gelöscht, manipuliert oder verhindert werden. Es sind auch Meldungen ratsam, wenn ein Administratorkonto erstellt wird oder in kurzer Zeit viele Anmeldungen fehlschlagen.