# Come troviamo il paziente zero, la prima macchina compromessa dall'attaccante?

Proceda a ritroso da ciò che sa, aiutandosi con le marche temporali. Parta dalla macchina su cui è stato notato l'incidente, si chieda quale altro host vi si è collegato per primo in modo insolito e ripeta per quell'host. I log degli endpoint mostrano accessi e nuovi programmi, quelli della directory quale account è stato usato da quale computer, quelli di firewall e VPN le prime connessioni verso l'esterno. I primi contatti regolari con un server dell'attaccante indicano spesso la prima macchina infetta. Il paziente zero conta perché rivela come è entrato l'attaccante, via che va chiusa prima del ripristino. Tenga presente che la prima macchina trovata spesso non è la prima infettata. Gli alert di NetSenX riportano orari, host e destinazioni, e dal piano Pro la correlazione sull'intera rete collega scansioni, nuove sessioni e beaconing tra host in un'unica storia, accorciando questa ricerca.

FAQ: [Risposta agli incidenti](https://netsenx.com/it/faq/incident) · https://netsenx.com/it/faq/how-to-find-patient-zero

## Da leggere dopo

- https://netsenx.com/it/detect-ransomware-on-the-network
- https://netsenx.com/it/nis2-incident-reporting-deadlines

## Domande correlate

- [Che cos'è un'immagine forense, e quando ci serve?](https://netsenx.com/it/faq/what-is-a-forensic-image)
- [Che cos'è la catena di custodia delle prove digitali?](https://netsenx.com/it/faq/what-is-chain-of-custody-for-digital-evidence)
- [Come conserviamo i log prima che vengano sovrascritti?](https://netsenx.com/it/faq/how-to-preserve-logs-before-they-are-overwritten)
- [Che cosa significa eradicazione nella risposta agli incidenti?](https://netsenx.com/it/faq/what-does-eradication-mean-in-incident-response)
- [Come reimpostiamo le password in sicurezza dopo una violazione?](https://netsenx.com/it/faq/how-to-reset-passwords-safely-after-a-breach)