Triage di un endpoint compromesso: una checklist pragmatica
Una checklist sintetica per i primi 60 minuti su un endpoint sospetto: cosa raccogliere, cosa non toccare, come scrivere note utili in giudizio.
I primi 60 minuti
L’obiettivo non è capire tutto, è non distruggere nulla e raccogliere ciò che serve a capire dopo.
Step 1 — Isolamento di rete, non spegnimento
Disconnettere l’endpoint dalla rete (con strumenti EDR o quarantena VLAN). Spegnere significa perdere RAM e processi vivi.
Step 2 — Acquisizione volatile
In ordine di volatilità decrescente: memoria, processi attivi, connessioni di rete, sessioni utente, contenuto di clipboard, file aperti.
Step 3 — Acquisizione non volatile
Immagine forense del disco (write-blocker hardware o software), registry, event log, prefetch, scheduled tasks, run keys, persistence locations.
Step 4 — Catena di custodia
Hash SHA-256 di ogni artefatto, timestamp UTC, identificativo dell’operatore, descrizione dell’azione. Tutto su carta o sistema firmato. Niente fogli sparsi.
Non sottovalutare
Le note prese male nei primi 60 minuti sono il motivo per cui molte indagini si bloccano in fase processuale. Scrivere bene è una misura di sicurezza.