O Defender para Identidade captura atividades em vários protocolos diferentes. Em alguns casos, o Defender para Identidade não recebe os dados do usuário de origem no tráfego. O Defender para Identidade tenta correlacionar a sessão do usuário com a atividade e, quando a tentativa for bem-sucedida, o usuário de origem da atividade será exibido. Caso as tentativas de correlação do usuário falhem, apenas o computador de origem será exibido.