در رخداد امنیتی، شواهد را بی‌دلیل پاک نکنید و سیستم را چندبار reboot نکنید.
- زمان، نشانه‌ها و IPهای مشکوک را ثبت کنید.
- در صورت امکان دسترسی مهاجم را با قانون محدود شبکه مهار کنید.
- credentialهای در معرض خطر را از دستگاه سالم تغییر دهید.
- snapshot یا تصویر forensic را قبل از پاک‌سازی در نظر بگیرید.
- لاگ‌ها را به محل جداگانه کپی کنید.
- تیکت فوری با شرح زمان‌بندی و اثر کسب‌وکار باز کنید.
نصب مجدد بدون فهم دامنه نفوذ ممکن است شواهد را از بین ببرد یا همان مسیر آسیب‌پذیر را دوباره ایجاد کند.