forensics
termoEstabelecer o que aconteceu num sistema, de um jeito que sobreviva a ser questionado depois.
A disciplina é definida por essa segunda parte. Qualquer um consegue olhar uma máquina; perícia é olhar sem alterar o que se olha, registrar como se sabe, e conseguir mostrar depois que a evidência é a mesma. É por isso que a primeira ação costuma ser capturar estado volátil e isolar, em vez de reiniciar ou limpar - e por que uma organização que apaga e reinstala um host comprometido escolheu velocidade de recuperação em vez de um dia saber o que houve, o que às vezes é a troca certa e deveria ser decisão, e não reflexo.
Também conhecido como: dfir