При продолжающемся инциденте нужно одновременно ограничить ущерб и сохранить доступные следы. Запишите, что наблюдаете, время обнаружения, затронутые устройства и выполненные действия. Сообщите, включена ли система, открыты ли приложения и есть ли резервные копии. Единого правила выключать компьютер или оставлять его включённым нет: выключение уничтожает данные оперативной памяти, а неконтролируемая работа может привести к дальнейшей утечке или перезаписи. Порядок вмешательства согласуют со специалистом и уполномоченными лицами, ответственными за систему.
Не переустанавливайте систему, не очищайте журналы и не запускайте восстановление на том же накопителе. Узнайте, какие журналы могут автоматически перезаписаться, и сообщите об этом при обращении. Если ответственные лица уже сменили пароли, отключили сеть или остановили службу, чтобы ограничить ущерб, запишите время и содержание действий. Компьютерно-сетевая экспертиза может понадобиться для анализа соединений и удалённого доступа. Самостоятельный сбор материалов не заменяет процессуального изъятия уполномоченным лицом.