Для полной картины инцидента и минимизации последствий мы проводим расследование с применением методов цифровой криминалистики: собираем и криминалистически корректно фиксируем доказательства, восстанавливаем хронологию атаки, определяем вектор входа, инструменты и техники злоумышленника и масштаб компрометации.
Расследование начинается с корректной фиксации следов и заканчивается ответом на вопросы: что произошло, как далеко зашёл атакующий и что делать дальше.
Криминалистически корректный сбор и фиксация цифровых доказательств с сохранением целостности и цепочки владения.
Анализ образов дисков, дампов оперативной памяти, журналов событий и сетевого трафика.
Как именно атакующий попал внутрь — точка входа и первоначальный доступ.
Чем действовал злоумышленник — ВПО, инструменты и техники (по MITRE ATT&CK).
Насколько глубоко зашёл атакующий и какие системы затронуты.
Этапы, терминология и порядок действий опираются на признанные стандарты цифровой криминалистики и реагирования на инциденты.
Жизненный цикл реагирования на инцидент: обнаружение, сдерживание, восстановление, выводы.
Интеграция форензики в реагирование: сбор → исследование → анализ → отчёт.
|
|
|
|
|
|
Документ, по которому можно принимать решения — и техническому, и управленческому уровню, — с материалами, пригодными для передачи регуляторам и правоохранительным органам.
Описание проведённых работ и полученных результатов.
Таймлайн атаки, привязанный к конкретным артефактам.
Три близкие услуги решают разные задачи. Ниже сравнительная таблица — когда что заказывать.
| Compromise Assessment | DFIR (форензика) | IRR (ретейнер) | |
| Когда | Проактивно, без известного инцидента | Реактивно, инцидент уже известен | Заранее, как готовность по договору |
| Вопрос | «Скомпрометированы ли мы уже?» | «Что именно произошло в инциденте?» | «Кто и как быстро отреагирует, когда случится?» |
| Триггер | План, M&A, подрядчики, подозрения | Обнаруженная атака или утечка | Подписывается до инцидента |
| Охват | Вся среда, ретроспективно | Конкретный инцидент, вглубь | Соглашение + банк часов |
| Результат | Заключение: есть/нет следов | Отчёт о расследовании инцидента | Гарантия реагирования (SLA) |
| Заказывать, если | Хотите убедиться, что вас не взломали | Вас взломали — нужно разобраться | Хотите быть готовы заранее |
Полная хронология атаки, вектор первоначального проникновения, инструменты и техники, масштаб компрометации.
Криминалистически корректный сбор и фиксация цифровых доказательств с сохранением целостности и цепочки владения.
Анализ образов дисков, дампов оперативной памяти, журналов событий и сетевого трафика.
Полная хронология атаки, вектор первоначального проникновения, инструменты и техники, масштаб компрометации.
Какие данные скомпрометированы и есть ли признаки их вывода за периметр.
Как именно атакующий попал внутрь — точка входа и первоначальный доступ.
Чем действовал злоумышленник — ВПО, инструменты и техники (по MITRE ATT&CK).
Насколько глубоко зашёл атакующий и какие системы затронуты.
Какие данные скомпрометированы и есть ли признаки их вывода за периметр.
Идентификация, сбор, получение и сохранение цифровых доказательств; цепочка владения.
Анализ и интерпретация цифровых доказательств.
Управление инцидентами информационной безопасности.
Шестиэтапный процесс реагирования на инциденты.
Привязка действий атакующего к тактикам и техникам.
Справочник по веб-атакам — когда вектор входа связан с веб-приложением.
Жизненный цикл реагирования на инцидент: обнаружение, сдерживание, восстановление, выводы.
Интеграция форензики в реагирование: сбор → исследование → анализ → отчёт.
Идентификация, сбор, получение и сохранение цифровых доказательств; цепочка владения.
Анализ и интерпретация цифровых доказательств.
Управление инцидентами информационной безопасности.
Шестиэтапный процесс реагирования на инциденты.
Привязка действий атакующего к тактикам и техникам.
Справочник по веб-атакам — когда вектор входа связан с веб-приложением.
|
|
|
|
|
|
Точка входа и действия атакующего в терминах MITRE ATT&CK.
Какие системы и данные скомпрометированы, признаки вывода данных.
Влияние инцидента на бизнес и инфраструктуру.
Устранение выявленных недостатков и предотвращение повторных инцидентов.
Описание проведённых работ и полученных результатов.
Таймлайн атаки, привязанный к конкретным артефактам.
Точка входа и действия атакующего в терминах MITRE ATT&CK.
Какие системы и данные скомпрометированы, признаки вывода данных.
Влияние инцидента на бизнес и инфраструктуру.
Устранение выявленных недостатков и предотвращение повторных инцидентов.