加固设备并调查警报

减少可被利用的弱点

移除未使用的服务、部署经过测试的安全更新，并使用只具备任务所需权限的账号。认证检查身份，授权检查该身份允许执行哪些操作。成功登录不代表拥有全部权限。

多因素认证结合不同类型的因素，例如密码和硬件令牌。两个密码仍然属于同一种因素。账号恢复流程也必须受到保护，否则可能削弱常规登录控制。

建立有证据支持的时间线

对照登录事件、新启动进程和文件变化，记录时间戳及其时区。多次失败后成功登录值得调查，但也应核实是否只是合法用户改正了密码。

怀疑发生事件时，遵循组织响应流程。保留日志、记录行动，并只在授权范围内隔离设备。警报是分析的起点，不能自动证明某个人发动了攻击。

自我检测