Een beveiligingsanalist onderzoekt een werkstation dat verdacht wordt van uitgaande communicatie met een command-and-control server. Tijdens het onderzoek ontdekte de analist dat logs op het endpoint waren verwijderd. Welke van de volgende logs zou de analist waarschijnlijk als volgende bekijken?

De firewall-logs zijn cruciaal omdat ze alle inkomende en uitgaande netwerkverbindingen registreren, inclusief de bestemmingen en poorten. Zelfs als logs op het endpoint zijn gewist, zal de firewall van het netwerk nog steeds een record hebben van de communicatie met de verdachte command-and-control server. Intrusion Prevention System (IPS) logs zijn nuttig voor het detecteren van kwaadaardige activiteiten, maar een firewall-log geeft een completer beeld van alle verbindingen. Access Control List (ACL) logs zijn meer gericht op toegangsrechten binnen een systeem of netwerksegment. Windows security logs zijn lokaal op het endpoint en zijn waarschijnlijk gewist, waardoor ze minder bruikbaar zijn in dit scenario.