Un analista del SOC establece una sesión de control remoto en la máquina de un usuario final y descubre lo siguiente en un archivo: gmail.com[ENT]my.name@gmail.com[ENT]NoOneCanGuessThis123! [ENT]Hello Susan, it was great to see you the other day! Let’s plan a followup[BACKSPACE]follow-up meeting soon. Here is the link to register. [RTN][CTRL]c [CTRL]v [RTN]after[BACKSPACE]After you register give me a call on my cellphone. ¿Cuál de las siguientes acciones debería realizar primero el analista del SOC?

El archivo contiene credenciales de correo electrónico (nombre de usuario y contraseña) y evidencia de que el usuario las ingresó en algún lugar, posiblemente en un sitio web de phishing o en una aplicación comprometida. La acción más inmediata y crítica es mitigar el riesgo de acceso no autorizado a la cuenta de correo electrónico del usuario. Aconsejar al usuario que cambie las contraseñas es la primera acción porque aborda directamente la exposición de las credenciales. Volver a crear la imagen de la máquina es una medida de remediación más drástica que puede ser necesaria más tarde, pero no protege la cuenta de correo electrónico ya comprometida. Verificar la política de correo electrónico es importante para la gobernanza, pero no es una respuesta de seguridad inmediata. Consultar los registros del firewall del host podría ayudar a investigar cómo se expusieron las credenciales, pero no detiene el uso potencial de las credenciales robadas.