Hoe dammen we een incident in zonder bewijs te vernietigen?
Knip het netwerk door, niet de stroom, en kopieer voordat u opruimt. Een getroffen machine isoleren op de switchpoort, op de firewall of via de endpointtool houdt de aanvaller eruit, terwijl geheugen, draaiende processen en open verbindingen intact blijven voor onderzoek. Exporteer voordat u machines opnieuw installeert, bestanden wist of accounts verwijdert de relevante logs, noteer verdachte accounts en bestanden en maak, als specialisten dat adviseren, een geheugendump en een schijfimage. Blokkeer de bestemmingen van de aanvaller op de firewall, maar noteer welke en wanneer. Moet u kiezen tussen snelheid en bewijs, bijvoorbeeld omdat de versleuteling zich verspreidt, dan wint snelheid: eerst de schade stoppen. Netwerkbewijs gaat het makkelijkst verloren, omdat veel apparaten maar een korte geschiedenis bewaren; NetSenX bewaart zijn alerts met tijdstip, hosts en bestemmingen gedurende de geschiedenis van uw abonnement.
Lees verder
Gerelateerde vragen
- Moeten we een besmette computer van het netwerk halen of uitzetten?
- Wat moeten we tijdens een cyberincident vermijden?
- Hoe vinden we patiënt nul, de eerste machine die de aanvaller overnam?
- Wat is een forensische image, en wanneer hebben we er een nodig?
- Wat is de bewijsketen (chain of custody) bij digitaal bewijs?