Checklista

Här är en checklista med ordningsföljd över de olika stegen i delprocessen.

Frågebatteri

• Vad får organisationen att tro att systemet/organisationen är drabbad?
• Vilka observationer är gjorda?
• Hur upptäcktes problemet?
• När upptäcktes problemet
• Var upptäcktes problemet? (fysisk placering av det drabbade systemet{outsoucing, co-loc})
• Vem upptäckte problemet?
• Vad är det för typ av system?
• Kritiskt? I så fall på vilket sätt kritiskt [Sekretess | Riktighet | Tillgänglighet]
• Kopplingar eller beroenden mot andra system?
• Vilket OS?
• Användningsområde eller syfte?
• Var är systemet beläget, vilket nätverks-segment?
• Driftas systemet av egen eller extern organisation?
• Kan eller får systemet stängas ner?
• Vilka åtgärder är tagna?
• Är systemet intakt?
• Har systemet startats om?
• Har nätverk kopplats bort?
• Finns det centrala eller/och lokala loggar?
• Vilken typ av loggar finns att tillgå? (lokala, nätverk)
• Vilka typer av system loggar ? (IDS, FW, IPS...)
• Kan något annat system ha drabbats?

Datainsamling

• Nätverkssniffer

• Nätverksprocesser

• Systemprocesser och minne

• Öppna samt ovanliga filer

• Loggfiler

  • FW-loggar

  • IDS-loggar

  • Nätverksloggar

  • Systemloggar

  • Routerloggar

  • IPS-loggar

  • Webbloggar

  • Mail-loggar

• Konton och användare

• Övriga ovanligheter

• Tidslinjer (MAC-times)

Kort analys av insamlat data

• Analys av insamlat data