Ein Sicherheitsanalyst untersucht eine Workstation, die im Verdacht steht, ausgehende Kommunikation mit einem Command-and-Control-Server zu haben. Während der Untersuchung stellte der Analyst fest, dass Protokolle auf dem Endpunkt gelöscht wurden. Welche der folgenden Protokolle würde der Analyst als Nächstes am ehesten untersuchen?

Die Firewall ist die wahrscheinlichste nächste Untersuchungsquelle, da sie den gesamten ein- und ausgehenden Netzwerkverkehr überwacht und protokolliert. Auch wenn Protokolle auf dem Endpunkt gelöscht wurden, würde die Firewall weiterhin Aufzeichnungen über die Kommunikation mit einem Command-and-Control-Server führen. Ein IPS (Intrusion Prevention System) würde zwar auch Protokolle führen, aber eine Firewall ist die primäre Instanz für die Überwachung des gesamten Netzwerkverkehrs. Eine ACL (Access Control List) definiert lediglich Zugriffsregeln, protokolliert aber nicht den Verkehr selbst. Windows-Sicherheitsprotokolle wären auf dem Endpunkt gelöscht worden und daher nicht verfügbar.