พบ web shell บนเซิร์ฟเวอร์ สิ่งใดไม่ควรทำก่อนเก็บหลักฐาน
กถอดระบบออกจากเครือข่ายตามแผน
ขเก็บเวลา hash log และการเชื่อมต่อ
คลบไฟล์และลงระบบใหม่ทันทีโดยไม่บันทึกสถานะ
งแจ้งทีมรับเหตุ
เฉลยอธิบาย
การทำลายหลักฐานก่อนเข้าใจขอบเขตอาจทำให้หาต้นเหตุและระบบอื่นที่ถูกเจาะไม่ได้