Un analyste SOC établit une session de contrôle à distance sur la machine d'un utilisateur final et découvre ce qui suit dans un fichier : gmail.com[ENT]my.name@gmail.com[ENT]NoOneCanGuessThis123! [ENT]Hello Susan, it was great to see you the other day! Let’s plan a followup[BACKSPACE]follow-up meeting soon. Here is the link to register. [RTN][CTRL]c [CTRL]v [RTN]after[BACKSPACE]After you register give me a call on my cellphone. Quelle est la première action que l'analyste SOC devrait effectuer ?

L'analyste a découvert des informations sensibles, notamment un nom d'utilisateur et un mot de passe (my.name@gmail.com et NoOneCanGuessThis123!), potentiellement exposés ou compromis sur la machine de l'utilisateur final. La priorité immédiate est de protéger les comptes de l'utilisateur en lui conseillant de changer tous les mots de passe potentiellement compromis. Réinitialiser l'image de la machine est une étape de remédiation plus tardive, après avoir sécurisé les comptes. Vérifier la politique des e-mails personnels n'est pas une action de sécurité immédiate pour un incident de compromission. Vérifier les journaux du pare-feu de l'hôte pourrait être utile pour l'analyse forensique, mais la protection des informations d'identification est plus urgente.