Интернетмагазин

 
45
го изменения до критического. Команда системы управления развернула этот 
патч на остальных системах.
Рис. 2.5
Команда реагирования работала со своим поставщиком антивирусного ПО, 
чтобы сломать шифрование и снова получить доступ к данным. На данном мо-
менте все остальные системы были исправлены и работали без проблем. На 
этом этап сдерживания, удаления и восстановления был завершен.
Выводы
Благодаря прочтению данного сценария вы узнали примеры из многих обла-
стей, которые были рассмотрены в этой главе и объединены воедино во время 
инцидента. Но инцидент не завершается тогда, когда проблема уже решена. 
На самом деле это только начало совершенно другого уровня работы, которую 
необходимо выполнить для каждого отдельного инцидента, – документации 
выводов.
Одна из наиболее ценных частей информации, которой вы располагаете на 
этапе после инцидента, – это выводы. Они помогут вам продолжать совершен-

---

46  Процесс реагирования на компьютерные инциденты 
ствовать процесс путем выявления пробелов и определения областей улучше-
ния. Когда инцидент будет полностью закрыт, его следует задокументировать. 
Эта документация должна быть очень детальной, с подробным описанием гра-
фика инцидента, шагов, которые были предприняты для решения проблемы, 
того, что происходило на каждом этапе, и как проблема была окончательно 
решена.
Подобная документация будет использоваться в качестве основы для ответа 
на следующие вопросы:

кто выявил проблему безопасности: пользователь или система обнару-
жения;

был ли инцидент открыт с правильным приоритетом;

правильно ли выполнила начальную оценку команда по безопасности;

есть ли что-либо, что можно улучшить на этом этапе;

правильно ли был выполнен анализ данных;

правильно ли было проведено сдерживание;

есть ли что-либо, что можно улучшить на этом этапе;

сколько времени понадобилось, чтобы разрешить этот инцидент.
Ответы на эти вопросы помогут уточнить процесс реагирования на инци-
денты, а также обогатить базу данных инцидентов. В системе управления ин-
цидентами они все должны быть полностью документированы и доступны для 
поиска. Цель состоит в том, чтобы создать базу знаний, которая может быть ис-
пользована при работе с будущими инцидентами. Часто инцидент может быть 
разрешен с использованием тех же шагов, которые были применены ранее.
Еще один важный момент, о котором необходимо рассказать, – это сохране-
ние улик. Все артефакты, которые были собраны во время инцидента, должны 
храниться в соответствии с политикой хранения компании, если только нет 
конкретных указаний. Имейте в виду, что если злоумышленник должен быть 
привлечен к ответственности, улики следует сохранять до тех пор, пока судеб-
ные иски не будут полностью урегулированы.