Mientras investiga un posible incidente, un analista de seguridad descubre lo siguiente: ¿Qué debería hacer el analista primero?

La actividad de "user created" y "user deleted" en un corto período de tiempo, junto con el intento de acceso a "query.php" y el uso de "admin'--", sugiere un posible ataque de inyección SQL o una explotación similar para manipular la base de datos de usuarios. El primer paso crucial es revisar la tabla de usuarios para identificar si se crearon cuentas no autorizadas o si las cuentas existentes fueron comprometidas o modificadas. Deshabilitar el script query.php o implementar un WAF son medidas reactivas importantes, pero primero se debe entender el alcance del compromiso. Bloquear intentos de fuerza bruta es una medida preventiva general, no la respuesta inmediata a esta evidencia específica.