Fuentes de datos para investigaciones

Cuando se dispara una alerta o se sospecha un incidente, los analistas necesitan evidencia para entender qué pasó. Distintas fuentes de datos revelan distintas partes de la historia, y saber qué fuente responde a qué pregunta es una habilidad central tanto para el examen como para el trabajo real. Security+ enumera los datos de logs (firewall, aplicaciones, endpoints, seguridad del sistema operativo, IPS/IDS, red, metadatos) y otras fuentes de datos, como los escaneos de vulnerabilidades, los informes automatizados, los tableros y las capturas de paquetes. Las buenas investigaciones combinan varias fuentes para construir una línea de tiempo confiable. El momento de pensar en las fuentes de datos es antes de un incidente: si un log no se recopila, o se conserva solo siete días, no estará ahí cuando lo necesites tres semanas después.