1) Contenimento — isoliamo i sistemi coinvolti, preserviamo dati volatili (RAM, net flows), blocchiamo eventuali esfiltrazioni in corso.
2) Preservazione — copia forense bit-a-bit (write-blocker), hashing SHA-512, verbali e inventario dei reperti.
3) Analisi — timeline artefatti (Windows/Mac/Linux), log applicativi e di rete, reverse engineering malware, threat intel correlata.
4) Attribuzione — OSINT/SOCMINT, blockchain tracing, tracciamento infrastrutture (C2, hosting, WHOIS storico).
5) Dossier — relazione forense firmata digitalmente (PDF/A), allegati tecnici, indicazioni operative per l’azione legale e/o disciplinare.
Tutte le attività rispettano chain of custody, principi di ripetibilità e minimizzazione dei dati.