証拠保全では、①端末はそのまま（電源を入れたまま切り離す）、②ログ（サーバー・ネットワーク機器・クラウド）を上書きされる前に保存、③誰がいつ何をしたかの時系列メモの3つが基本です。ログは保存期間が短いものもあるため、早めに確保します。
保全するもの
| 対象 | 内容 |
|---|---|
| 端末 | 感染端末をそのまま保管。ディスクのイメージ取得は専門家に |
| ログ | ファイアウォール、VPN機器、認証サーバー、メール、クラウドの監査ログ |
| 画面・メッセージ | 脅迫文、不審な画面、届いたメール（削除しない） |
| 時系列 | 気づいた時刻、報告の時刻、とった措置 |
復旧を急いで初期化・上書きすると、侵入経路が分からず、同じ方法で再び攻撃されるおそれがあります。復旧と保全の順番は、専門家と相談して決めましょう。