# Come conteniamo un incidente senza distruggere le prove?

Tagli la rete, non la corrente, e copi prima di ripulire. Isolare una macchina colpita sulla porta dello switch, sul firewall o tramite lo strumento di protezione degli endpoint impedisce all'attaccante di usarla, mentre memoria, processi in esecuzione e connessioni aperte restano intatti per l'indagine. Prima di reinstallare macchine, cancellare file o rimuovere account, esporti i log rilevanti, annoti account e file sospetti e, se gli specialisti lo consigliano, esegua un'acquisizione della memoria e un'immagine del disco. Blocchi le destinazioni dell'attaccante sul firewall, ma annoti quali e quando. Se deve scegliere tra rapidità e prove, per esempio perché la cifratura si sta diffondendo, vince la rapidità: prima fermi il danno. Le prove di rete sono le più facili da perdere, perché molti dispositivi conservano solo una breve cronologia; NetSenX conserva i suoi alert con orario, host e destinazioni per la durata della cronologia del Suo piano.

FAQ: [Risposta agli incidenti](https://netsenx.com/it/faq/incident) · https://netsenx.com/it/faq/how-to-contain-an-incident-without-destroying-evidence

## Da leggere dopo

- https://netsenx.com/it/detect-ransomware-on-the-network
- https://netsenx.com/it/nis2-incident-reporting-deadlines

## Domande correlate

- [Un computer infetto va scollegato dalla rete o spento?](https://netsenx.com/it/faq/should-we-unplug-or-switch-off-an-infected-computer)
- [Che cosa evitare durante un incidente informatico?](https://netsenx.com/it/faq/what-not-to-do-during-a-cyber-incident)
- [Come troviamo il paziente zero, la prima macchina compromessa dall'attaccante?](https://netsenx.com/it/faq/how-to-find-patient-zero)
- [Che cos'è un'immagine forense, e quando ci serve?](https://netsenx.com/it/faq/what-is-a-forensic-image)
- [Che cos'è la catena di custodia delle prove digitali?](https://netsenx.com/it/faq/what-is-chain-of-custody-for-digital-evidence)