Интернетмагазин

разделе данной главы.
Наибольшая проблема возникает, когда у вас недостаточно доказательств 
того, что произошел инцидент в области информационной безопасности и не-
обходимо продолжать сбор данных, чтобы подтвердить достоверность. Иног-
да система обнаружения не видит инцидент. Возможно, о нем сообщает ко-
нечный пользователь, но он не может воспроизвести проблему именно в этот 
момент времени. Нет материальных данных для анализа, и проблема не воз-
никает в момент вашего прибытия. В подобных сценариях вам нужно будет 
настроить среду для сбора данных и дать пользователю указание обратиться 
в службу поддержки в тот момент, когда проблема проявляется.
Передовые методы оптимизации обработки 
компьютерных инцидентов 
Нельзя определить, что является ненормальным, если вы не знаете, что нор-
мально. Другими словами, если пользователь обнаруживает новый инцидент, 
утверждая, что производительность сервера низкая, вы должны знать все об-

---

44  Процесс реагирования на компьютерные инциденты 
стоятельства, прежде чем делать поспешный вывод. Чтобы знать, медленно ли 
работает сервер, для начала нужно выяснить, какая скорость считается нор-
мальной. Это также относится к сетям, приборам и другим устройствам. Чтобы 
нейтрализовать подобные сценарии, убедитесь, что у вас есть:

системный профиль;

сетевой профиль / базовый уровень;

политика хранения логов;

синхронизация часов во всех системах.
Исходя из этого, вы сможете установить, что является нормальным во всех 
системах и сетях. Это будет очень полезно, когда происходит инцидент. Вам 
необходимо определить, что является нормой, прежде чем приступить к устра-
нению проблемы с точки зрения безопасности.
Д
еятельность