La bonifica è la fase della risposta agli incidenti in cui i difensori rimuovono la presenza dell'attaccante dai sistemi compromessi. Ciò può includere l'eliminazione di strumenti malevoli, la rimozione di meccanismi di persistenza come servizi o attività pianificate, la chiusura di backdoor, il ripristino delle credenziali compromesse e l'applicazione di patch alla vulnerabilità che ha consentito l'accesso in primo luogo.
La bonifica è importante perché il solo contenimento limita i danni; non elimina la minaccia. Se rimane anche solo un malware, un account rubato o un accesso remoto nascosto, l'attaccante può tornare dopo che l'incidente è stato dichiarato sotto controllo. Nelle indagini reali, la bonifica spesso segue l'analisi forense, così i team sanno esattamente cosa rimuovere e cosa preservare come prova. Un'efficace bonifica contribuisce a garantire che il ripristino sia sicuro e riduce la probabilità di una nuova infezione, di movimenti laterali ripetuti o di una seconda compromissione attraverso lo stesso punto di ingresso.