Интернетмагазин

Глава 
13
Расследование инцидента 
В предыдущей главе вы узнали о важности использования киберразведки, что-
бы помочь Синей команде усовершенствовать защиту организации, а также 
лучше узнать своих противников. В этой главе вы узнаете, как соединить все 
эти инструменты воедино для проведения расследования. Помимо этого, вы 
также узнаете, как подойти к инциденту, задать правильные вопросы и сузить 
сферу. Чтобы проиллюстрировать это, предложим два сценария: один – для ло-
кальной организации, а другой – для гибридной среды.
У каждого сценария будут свои уникальные характеристики и проблемы.
В этой главе мы рассмотрим следующие темы:

масштаб проблемы;

взлом системы внутри организации;

взлом системы в облаке;

выводы.
м
асштаб
 
проблемы
 
Посмотрим правде в глаза, не всякий инцидент связан с областью безопасно-
сти, и по этой причине жизненно важно определить масштабы проблемы до 
начала расследования. Иногда симптомы могут заставить вас подумать, что вы 
имеете дело с проблемой, связанной с безопасностью, но, по мере того как вы 
будете задавать больше вопросов и собирать больше данных, можете прийти 
к выводу, что проблема на самом деле не связана с безопасностью.
По этой причине первоначальная сортировка играет важную роль в том, на-
сколько успешным будет расследование. Если у вас нет реальных доказательств 
того, что вы имеете дело с проблемой в области безопасности (кроме того что 
конечный пользователь, сообщающий об инциденте, говорит, что его компью-
тер работает медленно, и он считает, что его скомпрометировали), то вам 
следует начать с устранения основных проблем, связанных с производитель-
ностью, а не отправлять специалиста из команды реагирования, чтобы начать 
расследование. По этой причине действия IT-отдела, операционного отдела 
и отдела безопасности должны быть полностью согласованы, чтобы избежать 
ложноположительных результатов, что приводит к использованию ресурса от-
дела безопасности для выполнения задачи поддержки.

---

250  Расследование инцидента 
Во время этой первоначальной сортировки также важно определить часто-
ту возникновения проблемы. Если проблема в настоящее время не возника-
ет, вам может понадобиться настроить среду для сбора данных, когда поль-
зователь сможет воспроизвести проблему. Обязательно запишите все шаги 
и предо ставьте точный план действий для конечного пользователя. Успех рас-
следования будет зависеть от качества собранных данных.