Lors de l'enquête sur un incident potentiel, un analyste de sécurité découvre ce qui suit : Que devrait faire l'analyste en premier ?

L'analyste a découvert des tentatives d'injection SQL et de force brute, ainsi qu'un script non autorisé. La première étape la plus critique est de vérifier la table des utilisateurs pour de nouveaux comptes. Si l'attaquant a réussi à créer un compte administrateur ou un compte privilégié, il pourrait avoir un accès persistant et étendu, rendant toutes les autres actions moins efficaces sans d'abord adresser cette vulnérabilité potentielle. Implémenter un WAF (Web Application Firewall) est une mesure préventive à long terme, mais ne résout pas la compromission potentielle actuelle. Désactiver le script query.php est une bonne étape, mais ne garantit pas que l'attaquant n'a pas déjà établi une persistance par d'autres moyens, comme la création de comptes. Bloquer les tentatives de force brute sur les utilisateurs temporaires est également une mesure réactive, mais ne couvre pas la possibilité d'un accès déjà acquis via de nouveaux comptes.