L’analisi forense post-applicazione della patch consiste nell’esaminare log, file, processi e altre attività del sistema dopo la correzione di una vulnerabilità. Il suo scopo è determinare se un aggressore abbia sfruttato la vulnerabilità prima della correzione. L’installazione di una patch chiude il percorso di attacco noto, ma non rivela se il sistema fosse già stato consultato o modificato.
In pratica, i responsabili della difesa esaminano le prove relative al periodo in cui il sistema era esposto, inclusi i log di autenticazione e del server web, i registri dei processi, le modifiche ai file e il comportamento in fase di esecuzione. Questo può aiutare a individuare comandi sospetti, meccanismi di persistenza o accessi ai dati e a orientare il contenimento e il ripristino. Conservate le prove pertinenti e tenete conto delle lacune nella registrazione degli eventi: un sistema che sembra pulito o un aggiornamento installato correttamente, da soli, non dimostrano che si sia verificata o non si sia verificata una compromissione.