Come conserviamo i log prima che vengano sovrascritti?
Li esporti non appena sospetta un incidente, prima di modificare qualsiasi altra cosa. Molti dispositivi conservano i log solo per pochi giorni o fino a un limite di dimensione: firewall, gateway VPN, switch e alcuni servizi cloud sovrascrivono per prime le voci più vecchie, e un attaccante attivo può tentare di cancellarle. Prepari in anticipo un elenco dei log importanti, di solito firewall, VPN, directory e autenticazione, posta, console degli endpoint e DNS, con il modo di esportare ciascuno. Durante l'incidente li copi su un archivio esterno ai sistemi colpiti, annoti l'ora e l'hash di ogni file e, se può, aumenti la conservazione sui dispositivi. Chieda ai Suoi fornitori cloud fin dove arrivano i loro log di audit. NetSenX conserva i suoi alert nel proprio servizio per la cronologia degli alert del Suo piano, 30 giorni con Free e di più con i piani a pagamento, qualunque cosa accada ai Suoi dispositivi.
Da leggere dopo
Domande correlate
- Che cosa significa eradicazione nella risposta agli incidenti?
- Come reimpostiamo le password in sicurezza dopo una violazione?
- Come sappiamo che l'attaccante se n'è andato davvero?
- Possiamo continuare a usare i computer dopo un attacco ransomware?
- Come ripartiamo in sicurezza dopo un incidente informatico?
← Tutte le 60 domande su Risposta agli incidentiTutti i temi