Tijdens een onderzoek probeert een incidentresponseteam de bron van een incident te achterhalen. Welke van de volgende incidentresponsactiviteiten beschrijft dit proces?

Analyse is de fase waarin het incidentresponseteam de oorzaak, omvang en impact van een beveiligingsincident probeert te achterhalen. Dit omvat het verzamelen en onderzoeken van bewijsmateriaal, het identificeren van de kwetsbaarheid die is uitgebuit, en het bepalen van de bron van de aanval. Lessons learned (geleerde lessen) vindt plaats na afloop van het incident en richt zich op procesverbetering. Detectie is de initiële identificatie van een incident. Containment (indamming) is het proces van het beperken van de schade en het voorkomen van verdere verspreiding van het incident.