Cal situar les incidències Greus a l'inici de la llista.

Cal detallar quins són el usuaris amb més incidències.

Cal definir bé que es considera una incidència.

Cal definir un model de registre d'incidència.

Cal revisar si tots els sistemes estàven actualitzats.

Cal identificar els sistemes que estaran implicats en la incidència.

Cal marcar els paràmetres de conformitat.

Cal indentificar quins tipus d'incidència hi haurà.

Cal informa al responsable designat.

Cal identificar quines seran les accions correctores.

Com es va classificar l'incident?

Qui va descobrir el problema?

Què va fer el descobridor?

Quines han estat les dades ocultes?

Quins esdeveniments se li han aplicat a l'usuari?

L'informe conté errades ortogràfiques?

Tots els responsables del departament estan assabentats de l'incident?

Quan es va redactar l'informe?

Quina va ser la gravetat de l'incident?

Quan se li va entregar l'ordinador?

Fer el desplegament el més aviat possible, perquè els equips estiguin actualitzats

Preguntar a tots els usauris quin horari és el millor per al desplegament

Garantir que totes les màquines estiguin enceses en el moment del desplegament

Tenir un entorn de proves on poder desplegar abans de fer-ho a tota la xarxa

Integrar totes les actualitzacions de seguretat disponibles

Aprofitar la pausa del café per fer el desplegament

Establir un horari de desplegament diferent a l'horari de treball de l'organització

Tenir còpies de seguretat de la imatge original

Incloure tot el sistema operatiu actualitzat en cada deseplgament

Personalitzar la configuració del sistema segons les necessitats de l'organització

Dur a terme una prova d'instal·lació en un equip de prova

Assegurar-se que les actualitzacions solucionen vulnerabilitats crítiques

Realitzar una còpia de seguretat de la imatge original.

Integrar només les actualitzacions de seguretat

Comprovar la compatibilitat de les actualitzacions amb la versió de Windows

Per defecte, tota la informació s’enregistra en l’arxiu /var/log/account/pacct

L’ordre lastcomm pot ser seleccionada per usuaris, terminals o bé pel mateix nom de l’ordre

No permet veure i verificar la totalitat de les ordres executades per un usuari, incloent l’ocupació de CPU i memòria

l'ordre sa mostra estadístiques sobre el temps de connexió dels usuaris

L'ordre accton activa i desactiva l’activitat d’auditoria de processos.

Si els usuaris o els processos fan servir excessius recursos, el sistema d'auditoria pot quedar inhabilitat

 sudo accton on activa l’auditoria de processos

Els usuaris autoritzats poden activar processos i evitar de ser registrats

l'ordre ac fa un resum de les ordres executades prèviament

L'ordre lastcomm mostra informació sobre quines ordres i instruccions s’han executat.

Processos i executables implicats en la creació de la connexió

Comparació de trànsit de la xarxa, errors i estadístiques de col·lisions, taules d’encaminament.

Imprimeix cada paquet rebut en codificació ASCII 

Anàlisi d’aplicacions web

Elaboració d’estadístiques sobre els protocols de la xarxa, paquets i errors enviats i rebuts

Llista de les connexions de xarxa actives amb la nostra màquina: adreça IP, port client i port servidor de la connexió

Mostra estadístiques sobre el temps de connexió dels usuaris

Es tracta de missatges del nucli del sistema

Llista de les interfícies de xarxa en el sistema

Calcula la mitjana d’operacions d’entrada/sortida per execució

Reorganitzar les carpetes del directori

Reinstal·lar el sistema operatiu

Realitzar una imatge del disc immediatament després de l’atac

Desconnectar la xarxa

Reiniciar el registre d'esedeveniments

Cercar proves en els arxius de registre i auditoria

Modificar les contrasenyes en els sistemes afectats

Apagar tota l'electricitat de l'edifici

Documentar tota la llista d'arxius i documents

Documentar tot el desenvolupament de la incidència i elaborar un pla de resposta