# Jak powstrzymać incydent, nie niszcząc dowodów?

Odetnij sieć, nie zasilanie, i najpierw kopiuj, potem sprzątaj. Izolacja zaatakowanej maszyny na porcie przełącznika, na firewallu lub przez narzędzie ochrony punktów końcowych odbiera ją napastnikowi, a pamięć, uruchomione procesy i otwarte połączenia zostają nienaruszone do analizy. Zanim przeinstalujesz maszyny, usuniesz pliki lub konta, wyeksportuj odpowiednie logi, zanotuj podejrzane konta i pliki, a jeśli specjaliści to zalecą, zrób zrzut pamięci i obraz dysku. Zablokuj cele napastnika na firewallu, ale zapisz które i kiedy. Jeśli musisz wybierać między szybkością a dowodami, na przykład dlatego, że szyfrowanie się rozprzestrzenia, wygrywa szybkość: najpierw zatrzymaj szkody. Dowody sieciowe najłatwiej stracić, bo wiele urządzeń przechowuje tylko krótką historię; NetSenX przechowuje swoje alerty z czasem, hostami i celami przez okres historii w Twoim planie.

FAQ: [Reagowanie na incydenty](https://netsenx.com/pl/faq/incident) · https://netsenx.com/pl/faq/how-to-contain-an-incident-without-destroying-evidence

## Czytaj dalej

- https://netsenx.com/pl/detect-ransomware-on-the-network
- https://netsenx.com/pl/nis2-incident-reporting-deadlines

## Powiązane pytania

- [Czy zainfekowany komputer odłączyć od sieci, czy wyłączyć?](https://netsenx.com/pl/faq/should-we-unplug-or-switch-off-an-infected-computer)
- [Czego unikać podczas incydentu cyberbezpieczeństwa?](https://netsenx.com/pl/faq/what-not-to-do-during-a-cyber-incident)
- [Jak znaleźć pacjenta zero, czyli pierwszą maszynę przejętą przez napastnika?](https://netsenx.com/pl/faq/how-to-find-patient-zero)
- [Czym jest obraz kryminalistyczny i kiedy jest potrzebny?](https://netsenx.com/pl/faq/what-is-a-forensic-image)
- [Czym jest łańcuch dowodowy (chain of custody) dla dowodów cyfrowych?](https://netsenx.com/pl/faq/what-is-chain-of-custody-for-digital-evidence)