Взлом редко приходит вовремя, и почти всегда паника мешает думать. Именно здесь я и нужен: беру на себя техническую сторону инцидента, пока вы занимаетесь бизнесом и коммуникацией. Первым делом мы вместе останавливаем распространение — глушим заражённые узлы, отзываем скомпрометированные ключи и учётки, закрываем канал, через который зашёл злоумышленник. Дальше начинается кропотливая часть, ради которой всё и делается: аккуратно, ничего не затирая, восстанавливаю, как именно вас пробили и как далеко успели зайти.
Я снимаю и разбираю образы оперативной памяти и дисков, поднимаю системные, сетевые и прикладные журналы, сопоставляю метки времени и строю единую ленту событий — от первого касания до последнего действия атакующего. Отдельно проверяю, к каким данным был доступ, что могли выгрузить и не осталось ли закладок для повторного входа. Все артефакты фиксирую с описью и цепочкой хранения, чтобы при разговоре со страховой, регулятором или в суде они имели вес. Пишу не сухими терминами, а так, чтобы решение мог принять и технический специалист, и директор без ИБ-фона.
На выходе — отчёт, с которым можно жить дальше: что произошло, каким путём, какие системы и данные затронуты, что уже сделано для локализации и чёткий, отсортированный по важности список того, что закрыть в первую очередь, чтобы история не повторилась. Работаю строго по защите и только с письменного согласия владельца системы — никаких серых зон и никакого доступа без согласованных границ. Если инцидент горит прямо сейчас — подключаюсь срочно и остаюсь на связи до полной стабилизации.
Я снимаю и разбираю образы оперативной памяти и дисков, поднимаю системные, сетевые и прикладные журналы, сопоставляю метки времени и строю единую ленту событий — от первого касания до последнего действия атакующего. Отдельно проверяю, к каким данным был доступ, что могли выгрузить и не осталось ли закладок для повторного входа. Все артефакты фиксирую с описью и цепочкой хранения, чтобы при разговоре со страховой, регулятором или в суде они имели вес. Пишу не сухими терминами, а так, чтобы решение мог принять и технический специалист, и директор без ИБ-фона.
На выходе — отчёт, с которым можно жить дальше: что произошло, каким путём, какие системы и данные затронуты, что уже сделано для локализации и чёткий, отсортированный по важности список того, что закрыть в первую очередь, чтобы история не повторилась. Работаю строго по защите и только с письменного согласия владельца системы — никаких серых зон и никакого доступа без согласованных границ. Если инцидент горит прямо сейчас — подключаюсь срочно и остаюсь на связи до полной стабилизации.
