調査結果を記録する

有用なインシデント報告書では、証拠によって裏付けられる内容を説明します。影響を受けたコンピューター、プログラムの起動方法、プログラムが何をしようとしたか、そして何を変更したかを明記してください。

練習用の証拠によると、demo-browser が demo-helper を起動しました。ファイル名は training-records.csv であり、ログでは転送が確認されています。具体的な所見を記録してください。

seclab answer cause demo-browser

次のように表示されます。

Recorded your answer to cause.

これは「誰かにハッキングされた」と書くよりも役に立ちます。次の担当者が確認できる事実を伝えられます。

保存された証拠は、収集された時点の状況を示します。プロセスが停止したことを示す後の記録は、プロセスが実行中だったことを示す以前のスナップショットと矛盾しません。説明には、その順序も含めてください。