Hoe vinden we patiënt nul, de eerste machine die de aanvaller overnam?
Werk terug vanuit wat u weet, met behulp van tijdstempels. Begin bij de machine waar het incident werd opgemerkt, vraag welke andere host er als eerste op een ongewone manier verbinding mee maakte en herhaal dat voor die host. Endpointlogs tonen aanmeldingen en nieuwe programma's, directorylogs welk account vanaf welke computer werd gebruikt, firewall- en VPN-logs de eerste verbindingen met buiten. De vroegste regelmatige contacten met een server van de aanvaller wijzen vaak de eerste besmette machine aan. Patiënt nul doet ertoe omdat die laat zien hoe de aanvaller binnenkwam, en die weg moet dicht voordat u herstelt. Houd er rekening mee dat de eerste machine die u vindt vaak niet de eerste besmette is. Alerts van NetSenX bevatten tijdstippen, hosts en bestemmingen, en vanaf het Pro-plan koppelt netwerkbrede correlatie scans, nieuwe sessies en beaconing tussen hosts tot één verhaal, wat deze zoektocht verkort.