Processo ripetibile, verificabile, difendibile.
Ogni passaggio è tracciato.
→ 1) Briefing riservato — obiettivi, rischi, cornice giuridica; NDA e canali cifrati.
→ 2) Stabilizzazione — blocco esfil senza distruggere tracce; finestre operative sicure.
→ 3) Acquisizione — imaging/snapshot su copia, write-blocker, hashing SHA-256, chain of custody.
→ 4) Triage — signatures, euristiche, ML-anomaly; mappatura IoC e persistenze.
→ 5) Analisi — timeline, correlazioni log, attribuzione tecnica (C2, famiglie, TTP).
→ 6) Bonifica — kill persistence, revoca token/API, pulizia profili e policy.
→ 7) Hardening — MFA, segmentazione, policy EDR/Mobile, patching; verifica post-bonifica.
→ 8) Report — dossier court-ready con hash, IoC, screenshot e istruzioni di verifica.