Tijdens het onderzoeken van een mogelijk incident ontdekt een beveiligingsanalist het volgende: Wat moet de analist als eerste doen?

De eerste stap bij het onderzoeken van een mogelijk incident is het vaststellen van de omvang en aard van de inbreuk. Het controleren van de gebruikerstabel op nieuwe accounts is cruciaal, omdat dit kan duiden op een succesvolle inbraak waarbij kwaadwillenden nieuwe accounts hebben aangemaakt voor persistentie of verdere aanvallen. Dit helpt bij het identificeren van de initiële toegang en potentiële backdoors. Het implementeren van een WAF is een preventieve maatregel, geen directe reactie op een ontdekt incident. Het uitschakelen van een script of het blokkeren van brute-force pogingen zijn reactieve maatregelen die nuttig kunnen zijn, maar het controleren op nieuwe accounts geeft een fundamenteler inzicht in de impact van de inbreuk voordat verdere mitigerende stappen worden ondernomen.