I primi 10 minuti
Riduci subito il rischio, ma non cancellare le tracce che servono per capire cosa è successo.
Se è un account di emergenza, un'identità di servizio, un account condiviso o un'identità che gestisce un servizio critico, coinvolgi il responsabile tecnico. Una disabilitazione non coordinata può causare un'interruzione.
Le spunte restano soltanto in questa scheda e si azzerano quando la pagina viene ricaricata. Non inserire nomi utente, dati del tenant o note dell'incidente nel sito.
Verifica cosa puoi vedere e correggere
Punto di partenza: Microsoft 365 Business Standard include Exchange Online, Microsoft Purview Audit Standard e Microsoft Entra ID Free. Alcune viste esistono ma hanno meno dati o una conservazione più breve; altre richiedono una licenza aggiuntiva. Controlla sempre i prodotti attivi nel tenant prima di seguire un passaggio.
| Funzione | Stato | Cosa significa durante l'incidente |
|---|---|---|
| Log di accesso Entra | Limitato | Portale ed esportazione CSV disponibili con Entra ID Free per 7 giorni. Entra ID P1 o P2 porta la conservazione a 30 giorni ed è necessario per accedere ai log di accesso tramite Microsoft Graph. |
| Log di audit Entra | Limitato | Disponibili per 7 giorni con Entra ID Free; 30 giorni con P1 o P2. Un upgrade non recupera dati già scaduti. |
| Audit Microsoft Purview | Incluso dopo l'attivazione | Audit Standard include ricerca, CSV, Search-UnifiedAuditLog e 180 giorni di conservazione. Nei piani SMB, incluso Business Standard, l'acquisizione dell'audit unificato non è attiva per impostazione predefinita: abilitala prima dell'incidente. L'attivazione non recupera eventi precedenti. |
| Audit della mailbox | Incluso | Attivo per impostazione predefinita per proprietario, delegati e amministratori; consulta gli eventi tramite Purview Audit. |
| Evento MailItemsAccessed | Licenza aggiuntiva | Business Standard non include il diritto Office 365 o Microsoft 365 E3/E5 che abilita questo evento. Usa l'audit generale della mailbox e Message trace come riscontro alternativo, sapendo che non provano quali singoli messaggi siano stati consultati. |
| Message trace | Incluso | Dati disponibili per 90 giorni. Ogni ricerca copre al massimo 10 giorni alla volta. |
| Utenti e accessi a rischio | Limitato | Entra Free mostra informazioni ridotte. Dettagli completi, rilevamenti, API del rischio e bonifica automatica richiedono Entra ID P2. |
| Blocco, revoca sessioni, password e metodi MFA | Incluso | Le azioni cloud sono disponibili. I token di accesso già emessi e le sessioni gestite dall'app possono restare validi fino alla scadenza. |
| Accesso condizionale | Licenza aggiuntiva | Richiede Entra ID P1; le condizioni basate sul rischio richiedono P2. Senza P1 usa Security Defaults come protezione di base, non granulare. |
| Password writeback ibrido | Licenza aggiuntiva | Il reset cloud è incluso; la scrittura della password verso Active Directory locale richiede Entra ID P1/P2 o un piano idoneo come Business Premium. |
| Incidenti e avvisi Defender XDR | Licenza aggiuntiva | Business Standard non abilita la coda incidenti XDR. Business Premium è idoneo, ma i segnali disponibili dipendono dai workload Defender concessi in licenza. |
| Explorer e bonifica automatica email | Licenza aggiuntiva | Threat Explorer, campagne, ricerca avanzata e automazione post-compromissione richiedono Defender for Office 365 Plan 2. |
| Casi eDiscovery, ricerca ed eliminazione | Licenza aggiuntiva | Non considerare Business Standard sufficiente. La documentazione Purview corrente richiede Microsoft 365 Enterprise E3 o E5 sia per gli amministratori sia per gli utenti dei casi. Per la base usa Message trace; per la bonifica operativa delle email dannose preferisci Defender for Office 365 Plan 2. |
| Isolamento, conformità e gestione dispositivi | Licenza aggiuntiva | Business Standard non include Intune né Defender for Business. Per isolamento, wipe e risposta endpoint usa Business Premium o licenze equivalenti. |
I log Entra e il registro unificato Purview sono separati. Esegui Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled in Exchange Online PowerShell. Se restituisce False, un operatore con ruolo Purview Audit Logs deve eseguire Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true. Finché non è attivo, le ricerche Purview restano vuote; vengono raccolti soltanto gli eventi futuri.
Accesso minimo per portali, API e comandi
Usa un account amministrativo separato e assegna il ruolo soltanto per il tempo e l'ambito necessari. “Amministratore globale” non è il punto di partenza. Le autorizzazioni Graph indicate servono solo se automatizzi la stessa azione; per Exchange valgono i ruoli RBAC e gli scope del destinatario.
| Azione | Ruolo minimo | Graph / Exchange | Limite con Business Standard |
|---|---|---|---|
| Leggere profilo, gruppi, app e dispositivi dell'utente | Directory Readers | User.Read.All; aggiungi GroupMember.Read.All o Directory.Read.All solo se necessario. | Incluso. |
| Vedere o rimuovere ruoli Entra | Directory Readers per leggere; Privileged Role Administrator per modificare | RoleManagement.Read.Directory o RoleManagement.ReadWrite.Directory. | Lettura e modifica manuale incluse; PIM richiede licenze aggiuntive. |
| Rimuovere appartenenze a gruppi | Groups Administrator | GroupMember.ReadWrite.All; per gruppi con ruoli assegnabili servono anche privilegi sui ruoli. | Incluso; i gruppi dinamici richiedono Entra ID P1. |
Aprire ed esportare log di accesso e audit Entra; Get-MgAuditLogSignIn | Reports Reader | AuditLog.Read.All per Microsoft Graph. | Portale e CSV inclusi con 7 giorni. Get-MgAuditLogSignIn e l'accesso Graph ai log di accesso richiedono Entra ID P1 o P2. |
| Leggere utenti, accessi e rilevamenti a rischio | Security Reader | IdentityRiskyUser.Read.All e IdentityRiskEvent.Read.All. | Vista ridotta; i dettagli completi richiedono P2. |
| Confermare compromissione o respingere il rischio | Security Operator | IdentityRiskyUser.ReadWrite.All. | Richiede Entra ID P2 per il flusso completo. |
| Leggere o gestire incidenti e avvisi Defender | Security Reader per leggere; Security Operator per intervenire | SecurityIncident.Read.All o SecurityIncident.ReadWrite.All. | Richiede un prodotto Defender idoneo; non incluso in Business Standard. |
| Disabilitare o riabilitare l'account | User Administrator per utenti non privilegiati; Privileged Authentication Administrator per account amministrativi | User.EnableDisableAccount.All + User.Read.All. Evita il più ampio User.ReadWrite.All se non serve. | Incluso per identità cloud. |
Revocare le sessioni; Revoke-MgUserSignInSession | Password Administrator per utenti non privilegiati; Privileged Authentication Administrator per account amministrativi | User.RevokeSessions.All. | Incluso; la revoca può richiedere alcuni minuti e non termina le sessioni degli utenti esterni nel tenant di origine. |
| Reimpostare la password | Password Administrator per utenti non privilegiati; Privileged Authentication Administrator per account amministrativi | User-PasswordProfile.ReadWrite.All. | Reset cloud incluso; writeback ibrido richiede P1/P2. |
| Vedere, eliminare o richiedere una nuova registrazione MFA | Authentication Administrator; Privileged Authentication Administrator per account amministrativi | UserAuthenticationMethod.ReadWrite.All. | Incluso. |
| Disabilitare o eliminare un'identità dispositivo Entra | Cloud Device Administrator | Device.ReadWrite.All. | Incluso per l'oggetto Entra; isolamento, wipe e conformità richiedono Intune o Defender. |
| Vedere app autorizzate, disabilitarle o revocare consensi OAuth | Directory Readers per leggere; Cloud Application Administrator per modificare; Privileged Role Administrator quando sono coinvolti permessi applicativi Microsoft Graph | DelegatedPermissionGrant.Read.All; per modificare DelegatedPermissionGrant.ReadWrite.All, AppRoleAssignment.ReadWrite.All e, se serve, Application.ReadWrite.All. | Gestione Entra inclusa; eliminare un grant non invalida subito gli access token già emessi. |
Verificare o attivare l'audit unificato; Get-AdminAuditLogConfig / Set-AdminAuditLogConfig | Ruolo Purview Audit Logs per attivare o disattivare | Exchange Online PowerShell; Format-List è locale e non aggiunge permessi tenant. | Controllo obbligatorio con Business Standard. L'attivazione non è retroattiva. |
Cercare ed esportare l'audit Purview; Search-UnifiedAuditLog | Audit Reader | Purview RBAC: View-Only Audit Logs. | Audit Standard incluso, 180 giorni, dopo l'attivazione dell'acquisizione unificata. |
| Eseguire Message trace | Ruolo Exchange Message Tracking | Exchange RBAC: Message Tracking. | Incluso, 90 giorni. |
| Leggere mailbox, forwarding e deleghe in EAC | View-Only Recipients | Exchange RBAC: View-Only Recipients, limitato allo scope dei destinatari interessati. | Incluso. |
Get-InboxRule -Mailbox <UPN> -IncludeHidden | Ruolo Exchange personalizzato di sola lettura, circoscritto alle mailbox interessate | Exchange RBAC: voce Get-InboxRule con parametri Mailbox e IncludeHidden. Verifica con la procedura Microsoft per i permessi dei cmdlet. | Incluso. Global Reader e View-Only Organization Management non sono sufficienti per questo cmdlet. |
Get-Mailbox -Identity <UPN> | View-Only Recipients | Exchange RBAC: Get-Mailbox con parametro Identity, limitato allo scope del destinatario. | Incluso. |
Format-List nei due blocchi | Nessun ruolo Microsoft 365 | Cmdlet locale di formattazione PowerShell; non legge né modifica il tenant e non richiede permessi Graph o Exchange aggiuntivi. | Incluso con PowerShell. |
| Rimuovere regole, forwarding e deleghe | Ruolo Exchange personalizzato con i soli cmdlet di modifica necessari | Assegna soltanto Remove-InboxRule, Set-Mailbox e i cmdlet di delega necessari, con recipient scope. Evita Organization Management come scorciatoia. | Incluso. |
| Cercare, visualizzare, esportare o eliminare contenuti con eDiscovery | eDiscovery Manager / Compliance Search; aggiungi Preview o Export; Search And Purge solo per eliminare | Purview RBAC. La purge PowerShell usa New-ComplianceSearchAction, ma quel comando non è eseguito direttamente in questa pagina. | Licenza aggiuntiva: non promettere casi, hold, ricerca o purge con Business Standard. Le funzioni eDiscovery correnti richiedono Microsoft 365 Enterprise E3/E5. |
| Cercare e correggere email in Explorer | Security Reader per leggere; Security Operator e Search And Purge per applicare azioni | Defender/Purview RBAC: Preview e Search And Purge. | Explorer e bonifica avanzata richiedono Defender for Office 365 Plan 2. |
| Rimuovere l'utente da Entità con restrizioni | Security Operator | Ruoli Email & collaboration nel portale Defender. | Disponibile con la protezione email inclusa, se l'account è stato limitato per invio. |
| Ripristinare OneDrive o una raccolta SharePoint | Proprietario del sito per il proprio contenuto; SharePoint Administrator per interventi amministrativi | Nessun permesso Graph richiesto per il flusso portale. | Incluso; dipende dalla finestra di conservazione disponibile. |
| Indagare o disabilitare flussi Power Automate | Environment Admin per l'ambiente; Power Platform Administrator per il tenant | Power Platform RBAC, non Microsoft Graph. | Audit di base disponibile; connettori premium e capacità avanzate dipendono dalla licenza del flusso. |
| Leggere o modificare Accesso condizionale | Security Reader per leggere; Conditional Access Administrator per modificare | Policy.Read.All o Policy.ReadWrite.ConditionalAccess. | Richiede Entra ID P1; policy basate sul rischio richiedono P2. |
| Modificare la policy di inoltro esterno | Security Administrator, oppure un ruolo Defender/Exchange personalizzato con il solo permesso della policy | Defender o Exchange RBAC; nessun permesso Graph necessario. | Controlli EOP di base inclusi. |
| Eseguire la diagnostica self-help Compromised Accounts | Qualsiasi ruolo amministrativo Microsoft 365 | Nessun permesso Graph o Exchange documentato; la diagnostica viene eseguita nel centro di amministrazione Microsoft 365. | Controllo opzionale; non disponibile in GCC High, DoD o Microsoft 365 gestito da 21Vianet. |
Riconosci i segnali che avviano la procedura
Obiettivo: capire velocemente se esiste un motivo concreto per aprire un incidente di identità.
Segnali tecnici
Utente a rischio, accesso insolito, viaggio impossibile, nuova registrazione MFA, consenso a un'app sconosciuta, regola mailbox o inoltro non autorizzato.
Segnali segnalati
L'utente vede richieste MFA inattese, email inviate senza il suo intervento, password cambiata, file modificati oppure notifiche di accesso sconosciute.
Portale di Microsoft Defender → Incidenti e avvisi → cerca l'utente interessato
Interfaccia di amministrazione di Microsoft Entra → Protezione → Identity Protection → Utenti a rischio
- Registra chi o cosa ha generato il segnale: utente, help desk, Microsoft Defender, Identity Protection o altro sistema.
- Chiedi all'utente, tramite telefono o altro canale attendibile, se riconosce l'attività.
- Apri la procedura anche con un solo segnale forte, per esempio una nuova MFA non riconosciuta o email inviate dall'account.
- Se il segnale è debole, controlla comunque accessi e rischio prima di chiudere come falso positivo.
Esempio semplice: l'utente nega una richiesta MFA arrivata alle 09:14. Apri l'incidente, usa le 09:14 UTC come punto di partenza e cerca gli accessi immediatamente precedenti.
Se l'attività non è riconosciuta o non può essere spiegata, passa al triage. Se è legittima, registra la verifica e il motivo della chiusura.
Ora della segnalazione in UTC, origine del segnale, dichiarazione dell'utente, ID dell'avviso o dell'incidente e primo intervallo temporale da analizzare.
Completa quando: il caso ha un proprietario, un intervallo temporale iniziale e una decisione documentata tra incidente credibile e falso positivo.
Definisci urgenza, privilegi e possibile impatto
Obiettivo: capire quanto è grave il caso, cosa può raggiungere l'identità e chi deve essere coinvolto subito.
Entra ID → Utenti → Tutti gli utenti → cerca UPN → apri l'utente → Panoramica
Entra ID → Ruoli e amministratori → Tutti i ruoli → Assegnazioni
Protezione → Identity Protection → Utenti a rischio → seleziona l'utente → Rilevamenti di rischio
Coinvolgi il responsabile dell'incidente prima di continuare se l'identità è Global Administrator, account di emergenza, servizio critico, dirigente, finanza o se esiste un possibile obbligo legale o di notifica.
Se l'identità ha privilegi o dipendenze critiche, coordina il contenimento con i proprietari del servizio. Negli altri casi, procedi subito con blocco e revoca delle sessioni.
Object ID, UPN, tipo di identità, origine autorevole, ruoli, gruppi sensibili, dispositivi, licenze rilevanti, rischio e persone coinvolte nella decisione.
Completa quando: priorità, proprietari, dipendenze e percorso di contenimento sono chiari e documentati.
Interrompi l'accesso e limita nuovi danni
Obiettivo: impedire all'attaccante di ottenere nuovi token, usare sessioni esistenti o registrare altri metodi di accesso.
Entra ID → Utenti → Tutti gli utenti → utente → Stato account → Modifica → disattiva Account abilitato → Salva
Entra ID → Utenti → Tutti gli utenti → utente → Panoramica → Revoca sessioni
Entra ID → Utenti → Tutti gli utenti → utente → Reimposta password
Nota sui token: la revoca blocca i token di aggiornamento, ma alcuni token di accesso o sessioni gestite direttamente dalle applicazioni possono funzionare fino alla scadenza o a una nuova valutazione.
Se l'attaccante è ancora attivo dopo blocco, revoca e reset, cerca un'applicazione autorizzata, una sessione applicativa, un dispositivo o un'altra identità collegata.
Stato dell'account prima e dopo, ora di blocco, ora della revoca, metodi MFA rimossi, dispositivo isolato, approvazione ricevuta e amministratore che ha eseguito le azioni.
Completa quando: l'identità non può eseguire nuovi accessi, le sessioni sono revocate, i metodi sconosciuti sono rimossi e le dipendenze critiche sono sotto controllo.
Documentazione Microsoft per questa fase
Ricostruisci accesso, persistenza e impatto
Obiettivo: determinare quando è iniziato l'incidente, come è entrato l'attaccante, cosa ha consultato o modificato e come ha mantenuto l'accesso.
Entra ID → Utenti → Tutti gli utenti → cerca UPN → apri l'utente → Log di accesso
Portale di Microsoft Purview → Audit → Nuova ricerca → utente e intervallo UTC
Interfaccia di amministrazione di Exchange → Destinatari → Cassette postali → utente → Cassetta postale
Entra ID → Utenti → Tutti gli utenti → utente → Applicazioni
Esporta gli accessi
Imposta un intervallo che inizi prima del primo evento sospetto. Esporta separatamente accessi interattivi e non interattivi in CSV. Conserva gli originali e lavora su copie.
- Controlla ora UTC, IP, posizione, applicazione, risorsa, stato, client, dispositivo e Accesso condizionale.
- Conserva Correlation ID, Request ID, Session ID e Unique Token Identifier quando presenti.
- Espandi le righe raggruppate degli accessi non interattivi per vedere i singoli timestamp.
Controlla modifiche all'identità
Cerca reset password, registrazioni MFA, modifiche a gruppi o ruoli, dispositivi aggiunti, rischio utente e modifiche amministrative.
Cerca persistenza nella mailbox
Esporta regole visibili e nascoste, inoltro SMTP, deleghe, autorizzazioni Send As o Send on behalf, configurazioni sospette e attività di invio.
Regole, incluse quelle nascosteGet-InboxRule -Mailbox <UPN> -IncludeHidden |
Format-List Name,Description,Enabled,ForwardTo,RedirectTo,DeleteMessage,MoveToFolderGet-Mailbox -Identity <UPN> |
Format-List ForwardingAddress,ForwardingSmtpAddress,DeliverToMailboxAndForwardGet-Mailbox può essere delegato con View-Only Recipients e uno scope limitato alla mailbox. Get-InboxRule non funziona con Global Reader o View-Only Organization Management: crea un ruolo Exchange di sola lettura che esponga soltanto Get-InboxRule, Mailbox e IncludeHidden sul recipient scope necessario.
Verifica i permessi dei cmdlet nel tenant · Exchange Online RBAC
Cerca persistenza tramite applicazioni
Controlla app autorizzate dall'utente, consenso concesso, editore, autorizzazioni richieste, service principal e attività. Un consenso OAuth può sopravvivere a un reset password.
Definisci il raggio d'impatto
Verifica messaggi inviati, destinatari, link o allegati, messaggi consultati, file modificati, condivisioni, flussi Power Automate e altre identità correlate.
Se trovi la stessa infrastruttura, app o modifica su più identità, amplia subito l'incidente. Se non trovi la causa, non riabilitare l'account soltanto perché la password è stata cambiata.
CSV degli accessi, audit Purview, eventi mailbox, regole, inoltri, deleghe, consensi OAuth, messaggi, file e flussi interessati. Conserva timestamp UTC, ID e query usate.
Completa quando: esistono una sequenza temporale, un punto di ingresso probabile, un inventario della persistenza e un raggio d'impatto documentato.
Accessi, rischio e audit
Mailbox, posta e raggio d'impatto
Applicazioni, file e automazioni
Rimuovi la causa e ogni accesso residuo
Obiettivo: eliminare credenziali, configurazioni, applicazioni e contenuti dannosi senza perdere le evidenze necessarie.
Identity Protection → Utenti a rischio → utente → Conferma compromissione
Portale di Microsoft Defender → Posta elettronica e collaborazione → Explorer → seleziona messaggi → Esegui azione
Avvia la diagnostica Compromised Accounts nel centro di amministrazione Microsoft 365 per una convalida aggiuntiva o per risolvere un blocco. Usala insieme a questa procedura: non sostituisce contenimento, raccolta delle evidenze, indagine o bonifica.
Il requisito minimo documentato è qualsiasi ruolo amministrativo Microsoft 365. Usa il ruolo amministrativo meno privilegiato già autorizzato per l'incidente e leggi l'avviso di consenso prima di avviare il test.
La diagnostica non è disponibile in GCC High, DoD o Microsoft 365 gestito da 21Vianet.
Voce ufficiale della diagnostica · Dati elaborati e privacy · Guida Microsoft per account compromessi
Se un dispositivo ha rubato credenziali o token, non basta correggere l'identità. Isola, analizza e ricostruisci il dispositivo secondo la procedura endpoint.
Configurazione prima e dopo, elementi rimossi, credenziali ruotate, azioni su messaggi e file, amministratore che ha eseguito ogni modifica e relativo timestamp UTC.
Completa quando: ogni meccanismo di persistenza noto è rimosso, le credenziali sono pulite, i contenuti dannosi sono corretti e i controlli successivi non mostrano ricomparse.
Documentazione Microsoft per questa fase
Riduci la possibilità che accada di nuovo
Obiettivo: correggere la debolezza che ha permesso l'incidente e rendere visibili più rapidamente comportamenti simili.
Esempio semplice: se l'attacco è iniziato da una richiesta MFA approvata per errore, non fermarti alla formazione. Introduci anche un metodo resistente al phishing e una policy che riduca le approvazioni ambigue.
Ogni azione preventiva deve avere un proprietario e una data. Se il controllo richiede un progetto separato, aprilo prima di chiudere l'incidente.
Causa confermata o ipotesi meglio supportata, controllo mancante, modifica approvata, proprietario, data prevista e metodo con cui verrà verificata.
Completa quando: ogni causa o lacuna importante ha una correzione applicata oppure un'attività assegnata con proprietario e scadenza.
Conserva una traccia verificabile dell'incidente
Obiettivo: permettere a un altro amministratore di capire cosa è stato osservato, quando è stato raccolto e quali azioni sono state eseguite.
La checklist del sito è generica e resta soltanto nella scheda. Salva esportazioni, note e dati personali nel sistema incidenti approvato dalla tua organizzazione.
Modello di registro evidenze
- ID incidente
- Data e ora in UTC
- Responder e ruolo
- UPN e Object ID dell'identità interessata
- Origine dell'evidenza
- Intervallo temporale esaminato
- Nome del file o dell'esportazione
- Metodo e ora di raccolta
- Posizione di archiviazione approvata
- Osservazione rilevante
- Azione eseguita, proprietario e approvatore
- Stato prima e dopo
- ID di avviso, incidente, sessione, correlazione o messaggio collegato
- Checksum del file quando richiesto dalla procedura interna
- Conserva i file originali senza modificarli. Esegui l'analisi su copie.
- Usa UTC per collegare eventi provenienti da Entra, Exchange, Purview, Defender e dispositivi.
- Registra le query, i filtri e l'intervallo usati per produrre ogni esportazione.
- Acquisisci lo stato prima di rimuovere regole, inoltri, metodi MFA, deleghe o consensi.
- Limita l'accesso alle evidenze e applica la politica di conservazione dell'organizzazione.
Se l'incidente può coinvolgere frode, dati personali, contenzioso o obblighi di notifica, coinvolgi privacy o legale prima di eliminare dati o modificare la conservazione.
Sequenza temporale, accessi, rischio, audit, configurazioni prima e dopo, elementi rimossi, comunicazioni, approvazioni, impatto e motivazione della chiusura.
Completa quando: ogni conclusione importante può essere collegata a un'evidenza, una fonte, un intervallo temporale e una persona responsabile.
Assegna proprietari, escalation e criteri di chiusura
Obiettivo: evitare decisioni senza proprietario e chiudere il caso soltanto quando accesso, impatto e ripristino sono stati verificati.
Responsabile incidente
Coordina priorità, decisioni, comunicazioni, escalation e approvazione della chiusura.
Identità
Gestisce blocco, sessioni, password, MFA, rischio, ruoli e Accesso condizionale.
Exchange
Controlla mailbox, regole, forwarding, deleghe, messaggi e raggio d'impatto della posta.
Endpoint
Isola e analizza dispositivi potenzialmente compromessi e ne autorizza il ritorno in servizio.
Applicazioni
Valuta app, service principal, OAuth, segreti, dipendenze e possibili interruzioni.
Business, privacy e legale
Valutano frode, impatto operativo, dati personali, comunicazioni e obblighi di notifica.
- l'identità è di emergenza, non umana, privilegiata o gestisce un servizio critico;
- l'attaccante sembra ancora attivo dopo il contenimento;
- sono coinvolte più identità, workload o organizzazioni;
- esiste possibile esfiltrazione, frode, impersonificazione di dirigenti o impatto legale;
- non puoi identificare o rimuovere la persistenza;
- l'azione richiesta può distruggere evidenze o interrompere un servizio essenziale.
Criteri di chiusura
Riabilita l'account soltanto dopo la bonifica e la verifica. Se restano dubbi sull'accesso o sulla persistenza, mantieni il contenimento e continua l'indagine.
Proprietario e sostituto per ogni area, approvazioni, comunicazioni, decisioni di notifica, verifica dell'utente, periodo di monitoraggio e approvazione finale.
Completa quando: il responsabile dell'incidente conferma che tutti i criteri di chiusura applicabili sono soddisfatti e ogni attività residua ha un proprietario.