Una revisione di contenimento è un controllo di sicurezza rapido eseguito dopo un sospetto incidente, una rivendicazione pubblica o un avviso insolito. Il suo obiettivo è limitare una possibile diffusione e confermare quali account, host e servizi potrebbero essere esposti. I team la usano per decidere se isolare i sistemi, reimpostare le credenziali, bloccare gli accessi sospetti o continuare a monitorare mentre vengono raccolte le prove.
Questo è importante perché le segnalazioni iniziali di un incidente sono spesso incomplete. Un elenco di ransomware, per esempio, può indicare un compromesso reale, un'intrusione parziale o soltanto una rivendicazione. Una revisione di contenimento aiuta i difensori a evitare entrambi gli estremi: reagire in modo eccessivo senza prove o aspettare troppo a lungo mentre un aggressore si muove lateralmente. In pratica, si concentra sui login recenti, sulle modifiche ai privilegi, sull'accesso ai file, sugli avvisi degli endpoint e sui segni di persistenza. Il risultato è un quadro più chiaro dell'ambito e delle prime azioni necessarie per ridurre il rischio.