आपको पता चलता है कि तीन हफ्ते पहले बंद किया गया एक alert असल में एक सच्ची घुसपैठ थी। अब क्या?

तुरंत escalate करें और मान लें कि हमलावर को तीन हफ्ते मिल चुके हैं, इसलिए रोकथाम से पहले दायरा चौड़ा तय करें। केस दोबारा खोलें, बची हुई telemetry से timeline दोबारा बनाएं, और उस आगे की गतिविधि की hunt करें जिसकी उम्मीद बनती है: persistence, credential चोरी, lateral movement और exfiltration। मूल alert के बजाय मौजूदा findings के आधार पर एक ही तालमेल वाली कार्रवाई में रोकथाम करें। बाद में बिना दोषारोपण की समीक्षा चलाएं कि मूल फैसला सही क्यों लग रहा था।

मैं पूरी तस्वीर मिलने से पहले ही अपने lead को तुरंत बता देता हूं, क्योंकि तीन हफ्ते का dwell time एक incident है और इसका सबसे बुरा रूप यह है कि कोई एनालिस्ट इज्जत बचाने के लिए चुपचाप अकेले जांच करता रहे। फिर मैं मूल host को तुरंत अलग करने की इच्छा रोकता हूं, क्योंकि तीन हफ्ते बाद वह host शायद अकेला नहीं है और जल्दी रोकथाम हमलावर को चौकन्ना कर देती है। तो पहले दायरा: जो भी retention बची है उससे timeline दोबारा बनाना, फिर आगे की hunt कि क्या होना चाहिए था, यानी persistence के तरीके, नए service account, credential access, account से host के नए authentication किनारे, और outbound volume में असामान्यता। जब मुझे पूरा फैलाव पता चल जाए तो मैं host दर host के बजाय एक ही तालमेल वाली कार्रवाई में रोकथाम करता हूं। बाद में मैं चाहता हूं कि समीक्षा प्रक्रिया के बारे में हो, व्यक्ति के बारे में नहीं। जब हमने पिछली नौकरी में यह किया तो ईमानदार निष्कर्ष यह था कि उस host पर एनालिस्ट के पास command line logging थी ही नहीं, तो उपलब्ध सबूत के हिसाब से फैसला सही लग रहा था। सुधार था telemetry और साथ में एक runbook नियम कि सबूत की गैरमौजूदगी पर केस बंद नहीं होता।