検知後

概要

最小共有の原則になっていないケースがほとんど
攻撃者(内部),攻撃者が送り込んだ組織内のスパイは組織の内部情報を取得
攻撃者は都合の悪い情報は削除する
※サーバー・エンドポイントのログ・ネットワークパケットキャプチャ・ネットワークイベントのレコード
※DNSログ
※プロキシログ

攻撃者は検知されたことが分かるとなぜ検知されたかの分析,後始末をする

インシデントの範囲は検知した範囲よりも大きいことが多い