Un analyste de sécurité apprend qu'un vecteur d'attaque, utilisé dans le cadre d'un incident récent, était un exploit bien connu d'un appareil IoT. L'analyste doit examiner les journaux pour identifier l'heure de l'exploit initial. Parmi les journaux suivants, lequel l'analyste devrait-il examiner en premier ?

L'analyste doit examiner les journaux du pare-feu en premier car ils enregistrent généralement les tentatives de connexion entrantes et sortantes, y compris celles qui pourraient exploiter des vulnérabilités connues sur un appareil IoT. Ces journaux fournissent une visibilité sur le trafic réseau et peuvent révéler l'heure et la source de l'exploit initial. Les journaux de point de terminaison (Endpoint) seraient utiles pour des détails post-exploitation sur l'appareil compromis, mais pas pour l'exploit initial. Les journaux d'application (Application) sont spécifiques aux applications et moins pertinents pour un exploit de périphérique IoT au niveau du réseau. Les journaux NAC (Network Access Control) sont utilisés pour l'authentification et l'autorisation des périphériques, mais ne fournissent pas nécessairement les détails de l'exploit lui-même.