Специалист по безопасности расследует инцидент, связанный с рабочей станцией, которая, предположительно, обменивалась данными с сервером управления и контроля. В ходе расследования аналитик обнаружил, что журналы на конечной точке были удалены. Какие из следующих журналов аналитик, скорее всего, проверит в первую очередь?

Межсетевой экран (Firewall) является правильным ответом, потому что он регистрирует попытки подключения и передачи данных, включая те, что направлены на серверы управления и контроля (C2). Даже если журналы на конечной точке были удалены, журналы межсетевого экрана, как правило, хранятся централизованно и могут предоставить доказательства связи с C2-сервером. IPS (система предотвращения вторжений) регистрирует обнаруженные угрозы, но не все попытки связи. ACL (списки контроля доступа) определяют разрешения, но не ведут подробных журналов трафика. Журналы безопасности Windows (Windows security) хранятся на конечной точке и, вероятно, были удалены, как указано в сценарии.