Расследование инцидентов — DFIR
По цифровым доказательствам расследуем точку входа, развитие и масштаб инцидента. На основе находок помогаем определить меры локализации и восстановления.
01 / ПРОВЕРКА
DFIR — анализ цифровых доказательств и реагирование. Сохраняя целостность данных, исследуем журналы, образы дисков или памяти. Восстанавливаем хронологию, определяем затронутые активы и причину проникновения; изоляцию и восстановление согласуем с ответственной командой.
ПРАКТИЧЕСКИЕ СЦЕНАРИИ / TTP
TTP — тактика атакующего, используемые техники и процедуры. Мы анализируем эти подходы и подбираем сценарии под вашу среду и письменно согласованный объём. Связываем результат каждой проверки с практическими рекомендациями по защите.
Velociraptor или согласованные средства собирают журналы, следы запуска и историю файловой системы. Контролируем целостность копий. Сопоставляем временные метки разных устройств, чтобы восстановить, кто, когда и на какие системы повлиял.
Изучаем подозрительные процессы, снимки памяти и соединения; файлы исследуются в изолированной среде. Один индикатор не считается окончательным выводом. Сопоставляем поведение программы, следы закрепления и адреса связи.
Определяем затронутые аккаунты и устройства, период наблюдения и пробелы видимости. Решения о смене паролей, переустановке или восстановлении из копий привязываем к доказательствам. Передаём критерии возврата в работу и контроли повторного инцидента.
02 / РЕЗУЛЬТАТ
Работаем на основании письменного разрешения владельца, договора и соглашения о конфиденциальности. До начала определяем активы, методы, сроки, условия остановки и порядок хранения данных.
Отправьте задачу через CyberTrust. Мы уточним число активов, глубину проверки и ожидаемый результат, а сроки и стоимость укажем в предложении.