When triaging a suspected OT cyber incident triggered by limited public and operational indicators, which actions are appropriate?
Які дії є доцільними під час сортування підозрюваного кіберінциденту в операційному просторі, спричиненого обмеженими публічними та операційними показниками?

Question

When triaging a suspected OT cyber incident triggered by limited public and operational indicators, which actions are appropriate? 
 Які дії є доцільними під час сортування підозрюваного кіберінциденту в операційному просторі, спричиненого обмеженими публічними та операційними показниками?

Accepted Answer

Coordinate early with the operator, SOC/CSIRT, law enforcement, and prosecutors as needed / За потреби, завчасно координувати дії з оператором, SOC/CSIRT, правоохоронними органами та прокурорами.

Accepted Answer

Validate the public claim against victim telemetry and operator observations / Підтвердити публічну заяву проти телеметрії жертви та спостережень оператора

Answer

Delay all containment until real-world attribution is confirmed / Відкласти всі обмеження до підтвердження реальної атрибуції

Answer

Preserve initial indicators, timestamps, and source references / Зберегти початкові індикатори, позначки часу та посилання на джерела

Answer

Treat the public claim as proof of full process compromise / Розглянути публічну заяву як доказ повного компрометування процесу

Crowdly

When triaging a suspected OT cyber incident triggered by limited public and oper...

Хочете миттєвий доступ до всіх перевірених відповідей на cybox.coe.int?