Durante l'indagine su un possibile incidente, un analista della sicurezza scopre quanto segue: Quale delle seguenti azioni dovrebbe intraprendere l'analista per prima?

L'azione più appropriata da intraprendere per prima è controllare la tabella users per nuovi account. Questo perché la scoperta di un file query.php che tenta di accedere a users.php e un tentativo di iniezione SQL su query.php suggeriscono un possibile accesso non autorizzato e la creazione di account privilegiati. Verificare la presenza di nuovi account è fondamentale per identificare se l'attacco ha avuto successo nel compromettere il sistema a livello di utente. Implementare un WAF è una misura preventiva a lungo termine, non la prima azione immediata dopo un potenziale incidente. Disabilitare lo script query.php potrebbe interrompere l'attacco, ma non rivela l'entità del danno già causato. Bloccare i tentativi di forza bruta sugli utenti temporanei è una misura reattiva, ma meno prioritaria rispetto alla verifica di account compromessi.