La revisione dell'incidente è il processo di controllo di registri, account utente, avvisi e sistemi interessati dopo una segnalazione di sicurezza o un evento sospetto. L'obiettivo è determinare se la segnalazione è reale, quali dati o servizi possono essere coinvolti e se gli attaccanti hanno ancora accesso. Una revisione inizia di solito con una rapida raccolta delle prove: registri di autenticazione, record VPN, attività email, avvisi degli endpoint e modifiche agli account con privilegi.
Questo è importante perché i post pubblici di divulgazione e le richieste di riscatto possono essere incompleti, esagerati o falsi, ma continuano comunque a creare rischio. Una revisione accurata dell'incidente aiuta i difensori a distinguere il rumore da una compromissione confermata, contenere l'accesso attivo e conservare le prove per analisi successive. Negli attacchi reali, chi esegue la revisione cerca segnali come accessi insoliti, nuovi account amministratore, picchi nel trasferimento di dati, strumenti di sicurezza disabilitati o servizi esposti. In difesa, la revisione dell'incidente supporta la risposta agli incidenti, la pianificazione della comunicazione, il ripristino delle credenziali e le decisioni su se passare a un'indagine completa sulla violazione.