前述の活動に基づくと、鑑識準備計画における正しい手順は以下のとおりです。
* 事件に必要な証拠を特定する。
証拠の出所を特定する。
* 最小限の混乱で電子証拠を合法的に抽出するための手順を定めるポリシーを定義する。
収集した証拠を安全に取り扱い、保管するためのポリシーを確立する。
* 当該事案が本格的な調査を必要とするかどうかを判断する。
* 職員に対し、事件への対処方法と証拠保全方法について研修を実施する。
手順を文書化するための特別なプロセスを作成する。
参考資料：インシデントハンドラー（ECIH v3）コースと学習ガイドには、フォレンジック対応計画に関する議論が含まれており、組織がインシデントを効果的に法的および技術的に処理できるように準備することの重要性が強調されています。

Microsoft Baseline Security Analyzer (MBSA) は、セキュリティ更新プログラムの不足や一般的なセキュリティ設定ミスをチェックすることで、コンピュータやネットワークのセキュリティ状態を評価するために設計されたツールです。インシデント対応プロセスの根絶フェーズで作業しているフィンの場合、MBSA の使用は理にかなっています。このツールが不足しているセキュリティパッチを検出し、最新のパッチのインストールを推奨する機能は、インシデントの根本原因となりうる Windows オペレーティングシステムの脆弱性を排除する上で非常に重要です。
MBSAは、セキュリティアップデートの不足、設定ミス、その他の脆弱性をシステム上でスキャンし、詳細なレポートと修復に関する推奨事項を提供します。このステップは、インシデントの根本原因を取り除き、将来の攻撃からシステムを保護することを目的とする駆除フェーズにおいて非常に重要です。必要なパッチがすべて適用されていることを確認することで、Finnは攻撃者に悪用される可能性のあるセキュリティ上のギャップに対処しています。
参考資料：EC-CouncilのECIH v3プログラムでは、システムとネットワークを保護するためのさまざまなツールとテクニックについて説明しています。これには、パッチ管理の重要性や、インシデント対応プロセスの一環として必要なセキュリティ更新プログラムを特定して適用するためのMicrosoft Baseline Security Analyzerなどのツールの使用が含まれます。

揮発性データとは、一時的に保存され、コンピュータの電源を切ったり再起動したりすると失われる情報のことです。例えば、RAMの内容（開いているソケットやポートを含む）、システムの日時、ネットワークインターフェースの状態などが挙げられます。ただし、ファイルの作成日は、ハードドライブに保存され、システムの再起動や電源オフ後も利用できるため、不揮発性データとみなされます。
不揮発性データは、ハードドライブ、SSD、磁気テープなどの永続ストレージ媒体に保存され、削除または上書きされるまでそこに残ります。参考資料:インシデントハンドラー（ECIH v3）認定では、デジタルフォレンジックとインシデント対応のコンテキストで揮発性データと不揮発性データの区別を強調し、システムシャットダウン時に失われる可能性のあるデータと、永続するデータを理解することの重要性を強調しています。