フォレンジック　超入門

Windows XPでやられったっぽい場合に復旧が最優先なら迷わず再起動ですが、
後で原因を知りたい場合に電源を切る前にやったほうがよいこと

ポートの状況とプロセスとの関連

動いてるプロセスと使用しているDLL

Dependency WalkerというのがVisual C++にあったような

でもログインしていない場合はしないといけないんだよな。
そもそもログインできない可能性もあるし。
となると電源切ってブータブルCD/ROMで再起動後、イメージ抜き出し。
でも最近はHDの容量が大きいからパーティションのサイズを小さめに変えとくとかしてないと、時間が物スゴークかかっちゃう。

となるとやっぱり電源orネットワーク断->何とか最新のパッチを当てる->再起動。
結局備えあれば憂いなしか。
じゃどこまで備えるのって話が出てきますが...
いったんやられたらどこまでやられてるかわからないので復旧はあきらめて信頼できるバックアップからリストするか再インストールしなさいって、フォレンジックの専門家に言われたこともあるな。