Il rapporto sull'incidente

Dopo un incidente, altre persone devono capire che cosa è successo. Un rapporto sull’incidente spiega i fatti: quando l’attaccante è entrato, come è entrato, quali account ha usato e quali informazioni ha sottratto.

Per esempio, supponi che le prove mostrino che Lee ha riutilizzato una password rubata. Il primo accesso riuscito è avvenuto alle 08:12:04 e l’attaccante ha copiato i contatti dei fornitori. Registreresti questi fatti separatamente:

seclab answer first 08:12:04

Dovresti vedere:

Recorded your answer to first.

seclab answer entry reused password

Dovresti vedere:

Recorded your answer to entry.

seclab answer accounts lee

Dovresti vedere:

Recorded your answer to accounts.

seclab answer loss supplier contacts

Dovresti vedere:

Recorded your answer to loss.

Usa l’ora in cui l’attaccante è entrato per la prima volta, che potrebbe essere precedente all’allarme. Per la perdita di dati, indica ciò che è stato effettivamente sottratto. Se hai bloccato un download più grande prima che avvenisse, non conteggiarlo come informazione ricevuta dall’attaccante.