आपको पक्का यकीन है कि किसी अधिकारी का laptop कब्जे में है और वे बीच board meeting में हैं। आप क्या करते हैं?

रोकथाम को सबूत के हिसाब से रखें, और बिज़नेस वाला फैसला अकेले लेने के बजाय escalate करें। अगर कोई सीधे कीबोर्ड पर सक्रिय होने, credential चोरी या staging के निशान हैं, तो अभी अलग कीजिए और incident commander को बताइए, क्योंकि थोड़ी देर की रुकावट पूरे domain के कब्जे में जाने से सस्ती है। अगर गतिविधि सोई हुई लगे, तो आंशिक रोकथाम लगाइए (command and control block कीजिए, session रद्द कीजिए, credential reset करवाइए) और पूरा अलग करना बाद में तय कीजिए।

मेरी कसौटी है किसी operator के सक्रिय होने या credential access का सबूत। अगर मुझे interactive command execution, credential dumping या डेटा stage होता दिखे, तो मैं अभी अलग करता हूं और माफी बाद में मांगता हूं, क्योंकि कब्जे में लिए laptop और कब्जे में लिए domain के बीच का फासला दस मिनट का हो सकता है। पर मैं उसे चुपचाप खींच भी नहीं लूंगा। मैं incident commander को फोन करता हूं, एक वाक्य में सबूत और अपनी सिफारिश देता हूं, और उन्हें बिज़नेस वाला फैसला लेने देता हूं जबकि मैं कदम तैयार रखता हूं ताकि उनके हां कहते ही वह हो जाए। अगर वह सोया हुआ लगे, जैसे कोई beacon जिसने घंटों से check in नहीं किया, तो मैं बीच का रास्ता लेता हूं: command and control domain को sinkhole करता हूं, account के session और refresh token रद्द करता हूं, process hash block करता हूं, और host पर पूरी telemetry चालू रखता हूं ताकि मैं देख सकूं। फिर meeting खत्म होने पर अलग कर देता हूं। खुद बातचीत के लिए मैं executive assistant के जरिये एक छोटी तथ्यात्मक बात कहता हूं, बिना किसी शब्दजाल के, क्योंकि board meeting में घबराया हुआ अधिकारी किसी के काम का नहीं।