Come conteniamo un incidente senza distruggere le prove?

Tagli la rete, non la corrente, e copi prima di ripulire. Isolare una macchina colpita sulla porta dello switch, sul firewall o tramite lo strumento di protezione degli endpoint impedisce all'attaccante di usarla, mentre memoria, processi in esecuzione e connessioni aperte restano intatti per l'indagine. Prima di reinstallare macchine, cancellare file o rimuovere account, esporti i log rilevanti, annoti account e file sospetti e, se gli specialisti lo consigliano, esegua un'acquisizione della memoria e un'immagine del disco. Blocchi le destinazioni dell'attaccante sul firewall, ma annoti quali e quando. Se deve scegliere tra rapidità e prove, per esempio perché la cifratura si sta diffondendo, vince la rapidità: prima fermi il danno. Le prove di rete sono le più facili da perdere, perché molti dispositivi conservano solo una breve cronologia; NetSenX conserva i suoi alert con orario, host e destinazioni per la durata della cronologia del Suo piano.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi