Een SOC-analist start een sessie voor afstandsbediening op de machine van een eindgebruiker en ontdekt het volgende in een bestand: gmail.com[ENT]my.name@gmail.com[ENT]NoOneCanGuessThis123! [ENT]Hello Susan, it was great to see you the other day! Let’s plan a followup[BACKSPACE]follow-up meeting soon. Here is the link to register. [RTN][CTRL]c [CTRL]v [RTN]after[BACKSPACE]After you register give me a call on my cellphone. Welke van de volgende acties moet de SOC-analist als eerste uitvoeren?

De correcte actie is de gebruiker adviseren om wachtwoorden te wijzigen. Het bestand bevat een gebruikersnaam en wachtwoord in platte tekst, wat een ernstig beveiligingslek is. Het wijzigen van het wachtwoord is de meest directe en cruciale stap om verdere ongeautoriseerde toegang te voorkomen. Het opnieuw imageready maken van de machine van de eindgebruiker is een belangrijke stap voor herstel, maar het aanpakken van de gecompromitteerde credentials heeft prioriteit. Het controleren van het beleid voor persoonlijke e-mail op het werk is relevant voor toekomstige preventie, maar lost het huidige beveiligingsprobleem niet op. Het controleren van host firewall logs kan nuttig zijn voor forensisch onderzoek, maar is niet de eerste actie om de directe dreiging van gelekte inloggegevens te mitigeren.