Risposta agli incidenti e conservazione dell’evidenza

Master sorgente EN · P03-L07 · needs_review

Solo studio senza rete/in sola lettura. Non fornire mai segreti, password o codici di autenticazione. Nessuna connessione del wallet, approvazione reale, revoca in tempo reale, firma di transazione, trasferimento, fondi o operazione di trading. I visual sono soltanto specifiche.

Durante un incidente occorre ridurre l’esposizione conservando evidenza non segreta sufficiente per l’analisi successiva. Un resoconto aziendale retrospettivo può insegnare questo processo se ogni affermazione storica mantiene la propria attribuzione.

Usare il pacchetto congelato della fonte

Il dataset P03-L07-LEDGER-REPORT-20231220-v1 contiene un record selettivo e parafrasato della pubblicazione e un file di provenienza. LR01 registra le date di resoconto/incidente: 20 e 14 dicembre 2023, secondo Ledger. LR02 preserva affermazioni raggruppate su tempi di pubblicazione CET/versioni. LR03 preserva conoscenza riportata e una voce di rimedio nella cronologia; la sua etichetta non è prova indipendente dell’istante preciso di distribuzione. LR04 conserva il resoconto aziendale della propagazione della cache. Sono LEDGER-REPORTED / OFFICIAL COMPANY REPORT, non eventi dell’incidente acquisiti indipendentemente.

Il pacchetto è stato recuperato il 2026-10-01, con precisione al giorno. È una rappresentazione attuale di una pubblicazione retrospettiva, non una schermata contemporanea del 2023. Non contiene ricevute native di blockchain, campioni di malware, artefatti npm, hash di pacchetto, log delle firme, cifre delle perdite o attribuzioni umane. Ispezionare la pubblicazione ufficiale stabilisce che contiene le dichiarazioni conservate; non autentica indipendentemente la cronologia sottostante.

Leggere la cronologia senza colmare lacune

LR02 mantiene raggruppate versioni interessate ed etichette dei tempi di pubblicazione. Non abbinare ogni versione a un tempo presumendo che l’ordine stabilisca una mappatura uno a uno. Preservare CET come base temporale dichiarata. Tempo dell’evento storico, data di pubblicazione e data di recupero rispondono a domande diverse.

La dichiarazione di rimedio LR03 non stabilisce un istante di distribuzione preciso e verificato indipendentemente o un contenimento universale. LR04 riporta un limite della cache; l’ultimo momento esatto di servizio tra i sistemi è UNKNOWN nel pacchetto. Un resoconto successivo può descrivere una mitigazione senza mostrare cosa abbia caricato il browser di un utente specifico. L’esposizione richiede record locali/software e di autorizzazione con provenienza adeguata; le etichette di versione da sole non mostrano un movimento di asset eseguito.

Esercitare una risposta, senza affermare che sia avvenuta

Il seguente quadro di priorità è ragionamento pedagogico INFERRED, non ricostruzione della risposta effettiva di Ledger o di un utente. Evitare prima di proseguire un’interazione irrisolta: nessuna connessione aggiuntiva, approvazione, firma di messaggio o trasferimento. In un contesto organizzativo, isolare interazione/componente sospetti attraverso un processo di risposta stabilito. L’esercizio non effettua cambiamenti operativi.

Preservare evidenza non segreta quando è sicuro e rapido: URL della fonte, riepilogo della richiesta osservata, nome/versione dichiarata del pacchetto, tempo della nota sull’incidente e metodo di raccolta. La conservazione non deve richiedere di ricaricare codice sospetto o ritardare il contenimento urgente. Se richiede eseguire malware o esporre credenziali, registrare la lacuna. «Fare prima una schermata di tutto» non è una regola universale.

Separare le categorie di artefatto

Una dichiarazione sulla versione non è il binario del pacchetto. Un hash non è un’attribuzione completa del malware. Un localizzatore pubblico di transazione non è un’identità umana. La dichiarazione di un utente su una firma non è un’autorizzazione consumata osservata indipendentemente. Creare righe separate per resoconto aziendale, artefatto locale, fase di autorizzazione ed evidenza dell’esito. Qui solo la prima categoria contiene record storici.

Una riga utile contiene fonte, localizzatore, campo/affermazione, classe della fonte, base temporale originale, precisione del recupero e ciò che non può stabilire. Se il rimedio cambia un sistema, registrare le osservazioni successive come contesti successivi, senza riscrivere l’evidenza originale. Rimuovere valori riservati dalle consegne didattiche; la guida di sicurezza esclude condivisione di materiale di recupero, chiavi o password [SECURITY].

Dichiarare ciò che è noto e irrisolto

OBSERVED: metadati della pubblicazione ed esistenza delle dichiarazioni LR01–LR04, esplicitamente a livello di resoconto aziendale. INFERRED: priorità di risposta dell’esercizio secondo le assunzioni dichiarate. UNKNOWN: artefatti degli utenti interessati, firme consumate, perdite, stato completo della cache e identità umana. INSUFFICIENT EVIDENCE: conferma forense indipendente, responsabilità di una persona o qualsiasi affermazione che tutti gli utenti fossero al sicuro dopo la correzione riportata.

Preparare un passaggio di consegne fattuale

Tre parti: decisione immediata senza rete, inventario dell’evidenza preservata e domande irrisolte mirate. Mai richiedere frase seed, chiave privata, password, frase di recupero o codice di autenticazione. «Fornire la fonte non segreta del pacchetto/versione e il contesto della raccolta» è una richiesta precisa. «Darmi il materiale di recupero per indagare» è vietato. L’esercizio non firma revoche e non sposta fondi; operazioni reali richiedono un proprio contesto di incidente affidabile e sono fuori dalla lezione.

• Contenimento: riduzione dell’esposizione continuativa, distinta dalla ricostruzione forense completa.
• Conservazione: mantenere evidenza sicura con fonte e contesto di raccolta.
• Riportato dall’azienda: dichiarazione sull’incidente attribuita al suo editore.
• Artefatto: oggetto raccolto con provenienza, distinto da un’affermazione sull’oggetto.
• Provenienza temporale: significato del timestamp e chi lo ha fornito.

HISTORICAL: solo record LR01–LR04 del resoconto aziendale; nessun artefatto indipendente di blockchain/forense. Usare dataset.json e records/ledger-report.selective.json. L’esercizio di risposta propone azioni sotto assunzioni esplicite senza rete; non aggiunge eventi Ledger fittizi, identità di wallet, perdite o conclusioni causali.

Pannello dell’evidenza con banner persistente LEDGER-REPORTED. La corsia storica contiene soltanto LR01–LR04 e le sezioni della fonte/base temporale. Una corsia separata dell’esercizio contiene priorità di risposta INFERRED. Una terza corsia degli artefatti sconosciuti elenca byte dei pacchetti, esposizione locale ed esiti delle transazioni come non disponibili. Mai collegare un’etichetta di pacchetto a un attaccante umano o alla perdita totale.

Le dichiarazioni selezionate compaiono nel record conservato della pubblicazione ufficiale. L’esercizio può giustificare priorità di risposta sotto assunzioni esplicite.

Cronologia indipendente dell’incidente, integrità del pacchetto, attribuzione di malware/attaccante, esposizione degli utenti, perdite, completamento effettivo del contenimento o un evento nativo su blockchain.

• Presentare il racconto aziendale come osservazione forense indipendente.
• Conservare evidenza rieseguendo codice sospetto.
• Ritardare il contenimento per una sequenza esaustiva di schermate.
• Deducere abbinamenti pacchetto/tempo da testo raggruppato.
• Chiedere segreti per indagare.

Creare righe LR01–LR04: fonte, data di pubblicazione/incidente, base temporale riportata, data/precisione del recupero, versione dichiarata dove presente, stato dell’evidenza e limite. Ordinare tre compiti senza rete: sospendere interazione irrisolta; preservare fonte/contesto sicuri e depurati; identificare artefatti mancanti. Spiegare quando la conservazione non deve ritardare il contenimento. Preparare un passaggio fattuale con due campi UNKNOWN e un’affermazione INSUFFICIENT EVIDENCE, senza chiedere segreti.

Consegnare tabella e conclusione circoscritta basate solo sul materiale fornito senza rete. Ripartizione editoriale: studio 12 min, esercizio 8 min, correzione/quiz 10 min.

• Contenere l’esposizione senza aggiungere azioni in tempo reale.
• Preservare solo record non segreti disponibili in sicurezza.
• Mantenere classe della fonte e semantica dei timestamp.
• Preservare le affermazioni raggruppate senza inventare abbinamenti.
• Distinguere artefatto, dichiarazione ed esito.
• Lasciare irrisolte identità/perdite/contenimento completo.

Il caso Ledger è utilizzabile come esercizio su un resoconto aziendale attribuito. Si possono insegnare priorità di contenimento sicuro e conservazione attenta alla provenienza senza fingere che il resoconto verifichi indipendentemente gli eventi o identifichi persone.

• Dare priorità al contenimento e registrare i fatti senza richiedere segreti
• Dare priorità al contenimento senza ritardarlo per raccogliere evidenza in modo rischioso.
• Preservare la provenienza di resoconto, pacchetto/versione e timestamp.
• Distinguere l’ispezione di una pubblicazione dalla verifica indipendente dell’incidente.

P03-L08 dopo aver verificato prerequisiti e correzione.

NONE nel catalogo autorevole. Bastano i dati forniti senza rete; non servono acquisto del prodotto o operazioni di wallet.

• [LEDGER] Ledger Security Incident Report — Cronologia e dichiarazioni sui pacchetti attribuite all’azienda; nessuna prova forense o di blockchain indipendente.
• [SECURITY] Sicurezza Ethereum e prevenzione delle truffe — Riservatezza dei segreti, verifica del dominio esatto e prudenza verso assistenza non ufficiale.

La documentazione spiega meccanismi. I record storici mantengono la classe dichiarata della fonte. La verifica delle fonti non è un’approvazione editoriale indipendente.