Un analista de seguridad se entera de que un vector de ataque, que se utilizó como parte de un incidente reciente, fue un exploit conocido de un dispositivo IoT. El analista necesita revisar los registros para identificar el momento del exploit inicial. ¿Cuál de los siguientes registros debería revisar primero el analista?

El registro del firewall es el lugar más lógico para comenzar, ya que un dispositivo IoT comprometido probablemente intentaría comunicarse con un servidor de comando y control externo. El firewall registraría cualquier intento de conexión saliente o entrante que pudiera indicar la explotación inicial. Los registros de endpoints (del dispositivo IoT) serían útiles, pero a menudo son limitados en dispositivos IoT y podrían borrarse. Los registros de aplicaciones serían relevantes si el exploit fuera a través de una aplicación específica en el dispositivo, pero el firewall es más general para el tráfico de red. Los registros de NAC (Network Access Control) mostrarían cuándo el dispositivo se conectó a la red, pero no necesariamente el momento del exploit en sí.