Bir şirketin çevrimiçi alışveriş web sitesi, 30 Ocak 2023 gece yarısından kısa bir süre sonra kullanılamaz hale geldi. Bir güvenlik analisti, veritabanı sunucusunu incelediğinde, verileri yedeklemek için kullanılan aşağıdaki kodu fark etti: Analist daha sonra aşağıdakilerden hangisini yapmalıdır?

Veritabanı sunucusunda yedekleme için kullanılan kodun bulunması, bir saldırganın sistemde komut çalıştırma yeteneğine sahip olduğunu gösterir. Bu tür bir erişim genellikle içeriden gelen tehditlerle, özellikle de sistem hakkında bilgi sahibi olan kişilerle ilişkilidir. Yakın zamanda işten çıkarılan veritabanı yöneticileri (DBA'lar), sistem bilgilerine sahip oldukları ve potansiyel olarak intikam alma motivasyonları olabileceği için şüpheli bir grup oluşturur. WAF günlüklerini incelemek, komut enjeksiyonu kanıtı aramak için uygun olsa da, bu senaryoda doğrudan veritabanı sunucusunda bulunan kod, içeriden bir tehdide işaret etmektedir. Kötü amaçlı yazılım taraması veya fidye yazılımı notları aramak, bu tür bir kodun varlığıyla doğrudan ilişkili değildir; kodun kendisi bir saldırının belirtisidir, kötü amaçlı yazılımın değil.