Проактивная проверка ИТ-инфраструктуры на наличие следов компрометации — в том числе ранее не обнаруженных атак. Специалисты SOC ищут индикаторы компрометации и признаки действий злоумышленников на хостах, серверах и в трафике, а также анализируют журналы за доступный период. По итогам — заключение о наличии либо отсутствии следов и рекомендации.
Compromise Assessment — это разовая сплошная проверка среды на признаки прошлой или продолжающейся компрометации. В отличие от мониторинга (ловит события в реальном времени) и пентеста (ищет уязвимости), CA отвечает на прямой вопрос: есть ли уже следы взлома, о которых вы не знаете.
Поиск IoC и признаков применения известных тактик и техник (TTP) на конечных точках, серверах и в сетевом трафике.
Анализ журналов событий за доступный период — чтобы найти следы атак, случившихся раньше.
CA полезен и как плановая процедура, и как реакция на конкретный повод — от подозрений до смены ИТ-ландшафта.
Стартовая проверка «чистоты» инфраструктуры перед постановкой на мониторинг.
Перед покупкой или интеграцией сторонней инфраструктуры в свою — чтобы не унаследовать чужой инцидент.
Компрометация оставляет следы на разных уровнях. Охват определяется вашей инфраструктурой и целями проверки.
Артефакты ОС, процессы, автозагрузка и закрепление, следы ВПО; при необходимости — дампы памяти и дисков.
Анализ трафика: C2-каналы, боковое перемещение, аномалии и признаки вывода данных (NetFlow или полный захват).
Подход опирается на признанные практики (MITRE ATT&CK) и современные академические модели Compromise Assessment. Данные собираются послойно — от лёгкого триажа до полной форензики.
Согласуем, что проверяем, и расставляем приоритеты по критичности активов. Учитываем актуальные угрозы и историю (прошлые инциденты, результаты пентеста).
Собираем журналы (контроллер домена, СЗИ, серверы), артефакты с хостов и сетевой трафик.
Глубина — послойно: лёгкий триаж (следы запуска, закрепление, выборочные логи) → расширенный (журналы приложений, активность пользователей, метаданные ФС) → полная форензика (дампы памяти и образы дисков).
Ищем индикаторы компрометации и признаки TTP по MITRE ATT&CK.
Сигнатурный поиск (YARA, Sigma) сочетаем с поведенческим: строим базовую линию «нормального», отсеиваем легитимное и фокусируемся на аномалиях. Отдельно — ретроспектива по журналам, механизмы закрепления, скрытые C2 и следы вывода данных.
Предоставляем заключение о наличии либо отсутствии следов компрометации, описание выявленных угроз и недостатков конфигурации, а также приоритизированные рекомендации по их устранению. При обнаружении активной компрометации — передача в расследование (DFIR).
Три близкие услуги решают разные задачи. Ниже сравнительная таблица — когда что заказывать.
| Compromise Assessment | DFIR (форензика) | IRR (ретейнер) | |
| Когда | Проактивно, без известного инцидента | Реактивно, инцидент уже известен | Заранее, как готовность по договору |
| Вопрос | «Скомпрометированы ли мы уже?» | «Что именно произошло в инциденте?» | «Кто и как быстро отреагирует, когда случится?» |
| Триггер | План, M&A, подрядчики, подозрения | Обнаруженная атака или утечка | Подписывается до инцидента |
| Охват | Вся среда, ретроспективно | Конкретный инцидент, вглубь | Соглашение + банк часов |
| Результат | Заключение: есть/нет следов | Отчёт о расследовании инцидента | Гарантия реагирования (SLA) |
| Заказывать, если | Хотите убедиться, что вас не взломали | Вас взломали — нужно разобраться | Хотите быть готовы заранее |
Стоимость зависит от охвата и глубины сбора данных. Базовый уровень — фиксированный, расширения — по договорённости.
Особое внимание — механизмам закрепления в инфраструктуре, скрытым каналам управления и признакам вывода данных.
Поиск IoC и признаков применения известных тактик и техник (TTP) на конечных точках, серверах и в сетевом трафике.
Анализ журналов событий за доступный период — чтобы найти следы атак, случившихся раньше.
Особое внимание — механизмам закрепления в инфраструктуре, скрытым каналам управления и признакам вывода данных.
Когда доступ к ресурсам имеют внешние подрядчики — проверка на злоупотребления и следы доступа.
Неизвестные учётные записи, файлы, процессы, непонятный трафик и другие аномалии.
Как регулярная процедура вслед за тестом на проникновение — проверить, не воспользовался ли кто-то теми же путями.
Часто требуется или снижает стоимость полиса при андеррайтинге киберрисков.
Периодически (например, раз в год) — как дополнение к ежедневному мониторингу.
Поддерживает соответствие требованиям по выявлению инцидентов (187-ФЗ/ГосСОПКА, ЦБ/ГОСТ 57580, PCI DSS).
Стартовая проверка «чистоты» инфраструктуры перед постановкой на мониторинг.
Перед покупкой или интеграцией сторонней инфраструктуры в свою — чтобы не унаследовать чужой инцидент.
Когда доступ к ресурсам имеют внешние подрядчики — проверка на злоупотребления и следы доступа.
Веб-серверы и бизнес-приложения: веб-шеллы, аномальные запросы, следы эксплуатации.
Облачные журналы и конфигурации, компрометация почты и учётных данных, подозрительные доступы и токены.
Компрометация и эскалация привилегий, следы аутентификации, аномалии в каталоге (AD).
Признаки злоупотреблений со стороны сотрудников и подрядчиков: доступ к данным, вынос, обход контроля.
Артефакты ОС, процессы, автозагрузка и закрепление, следы ВПО; при необходимости — дампы памяти и дисков.
Анализ трафика: C2-каналы, боковое перемещение, аномалии и признаки вывода данных (NetFlow или полный захват).
Веб-серверы и бизнес-приложения: веб-шеллы, аномальные запросы, следы эксплуатации.
Согласуем, что проверяем, и расставляем приоритеты по критичности активов. Учитываем актуальные угрозы и историю (прошлые инциденты, результаты пентеста).
Собираем журналы (контроллер домена, СЗИ, серверы), артефакты с хостов и сетевой трафик.
Глубина — послойно: лёгкий триаж (следы запуска, закрепление, выборочные логи) → расширенный (журналы приложений, активность пользователей, метаданные ФС) → полная форензика (дампы памяти и образы дисков).
Ищем индикаторы компрометации и признаки TTP по MITRE ATT&CK.
Сигнатурный поиск (YARA, Sigma) сочетаем с поведенческим: строим базовую линию «нормального», отсеиваем легитимное и фокусируемся на аномалиях. Отдельно — ретроспектива по журналам, механизмы закрепления, скрытые C2 и следы вывода данных.
Предоставляем заключение о наличии либо отсутствии следов компрометации, описание выявленных угроз и недостатков конфигурации, а также приоритизированные рекомендации по их устранению. При обнаружении активной компрометации — передача в расследование (DFIR).
Согласуем, что проверяем, и расставляем приоритеты по критичности активов. Учитываем актуальные угрозы и историю (прошлые инциденты, результаты пентеста).
Неизвестные учётные записи, файлы, процессы, непонятный трафик и другие аномалии.
Как регулярная процедура вслед за тестом на проникновение — проверить, не воспользовался ли кто-то теми же путями.
Часто требуется или снижает стоимость полиса при андеррайтинге киберрисков.
Периодически (например, раз в год) — как дополнение к ежедневному мониторингу.
Поддерживает соответствие требованиям по выявлению инцидентов (187-ФЗ/ГосСОПКА, ЦБ/ГОСТ 57580, PCI DSS).
Облачные журналы и конфигурации, компрометация почты и учётных данных, подозрительные доступы и токены.
Компрометация и эскалация привилегий, следы аутентификации, аномалии в каталоге (AD).
Признаки злоупотреблений со стороны сотрудников и подрядчиков: доступ к данным, вынос, обход контроля.