Raport z incydentu

Po incydencie inne osoby muszą zrozumieć, co się wydarzyło. Raport z incydentu przedstawia fakty: kiedy napastnik uzyskał dostęp, jak to zrobił, z których kont skorzystał i jakie informacje zabrał.

Załóżmy na przykład, że dowody wskazują, iż Lee ponownie użył skradzionego hasła. Pierwsze udane logowanie nastąpiło o 08:12:04, a napastnik skopiował kontakty dostawców. Te fakty należy zapisać osobno:

seclab answer first 08:12:04

Powinien pojawić się komunikat:

Recorded your answer to first.

seclab answer entry reused password

Powinien pojawić się komunikat:

Recorded your answer to entry.

seclab answer accounts lee

Powinien pojawić się komunikat:

Recorded your answer to accounts.

seclab answer loss supplier contacts

Powinien pojawić się komunikat:

Recorded your answer to loss.

Użyj godziny, o której napastnik po raz pierwszy uzyskał dostęp; może być wcześniejsza niż alarm. W przypadku utraty danych zgłoś to, co faktycznie zostało zabrane. Jeśli udało Ci się zatrzymać większe pobieranie, zanim do niego doszło, nie zaliczaj tych informacji do danych, które napastnik otrzymał.