דוח האירוע

אחרי תקרית, אנשים אחרים צריכים להבין מה קרה. דוח תקרית מסביר את העובדות: מתי התוקף נכנס, איך הוא נכנס, באילו חשבונות השתמש ואיזה מידע לקח.

לדוגמה, נניח שהראיות מראות שלי השתמשה מחדש בסיסמה גנובה. הכניסה המוצלחת הראשונה הייתה בשעה 08:12:04, והתוקף העתיק את אנשי הקשר של הספקים. יש לתעד את העובדות האלה בנפרד:

seclab answer first 08:12:04

אתם אמורים לראות:

Recorded your answer to first.

seclab answer entry reused password

אתם אמורים לראות:

Recorded your answer to entry.

seclab answer accounts lee

אתם אמורים לראות:

Recorded your answer to accounts.

seclab answer loss supplier contacts

אתם אמורים לראות:

Recorded your answer to loss.

השתמשו בזמן שבו התוקף נכנס לראשונה, שעשוי להיות מוקדם יותר מההתראה. במקרה של אובדן נתונים, דווחו על מה שנלקח בפועל. אם עצרתם הורדה גדולה יותר לפני שהתרחשה, אל תחשיבו זאת כמידע שהתוקף קיבל.