Analityk bezpieczeństwa bada stację roboczą podejrzaną o komunikację wychodzącą z serwerem command-and-control. Podczas dochodzenia analityk odkrył, że logi na punkcie końcowym zostały usunięte. Które z poniższych logów analityk najprawdopodobniej sprawdziłby w następnej kolejności?

Analityk najprawdopodobniej sprawdziłby logi firewalla, ponieważ rejestrują one ruch sieciowy, w tym połączenia wychodzące, nawet jeśli logi na stacji roboczej zostały usunięte. Firewall działa jako punkt kontrolny ruchu w sieci, więc jego logi dostarczą informacji o próbach komunikacji z serwerem C2. Logi IPS (Intrusion Prevention System) są ważne, ale skupiają się na wykrywaniu i blokowaniu intruzji, a nie na ogólnym ruchu sieciowym. Logi ACL (Access Control List) kontrolują dostęp do zasobów, a nie rejestrują szczegółów połączeń wychodzących. Logi bezpieczeństwa systemu Windows (Windows security) byłyby przydatne, ale skoro zostały usunięte na stacji roboczej, firewall pozostaje najlepszym źródłem informacji o ruchu sieciowym.