Реагирование на инциденты и цифровая форензика

Когда инцидент разворачивается прямо сейчас, худшее решение — действовать наугад. Я подключаюсь во время и после атак, чтобы навести порядок в хаосе: сначала помогаю остановить распространение угрозы, затем шаг за шагом восстанавливаю картину произошедшего, и в конце отдаю план, чтобы это не повторилось. Работаю спокойно под давлением, держу вас в курсе на каждом этапе и никогда не выключаю систему, не объяснив заранее, чем это обернётся. Задача простая: остановить утечку, понять причину и сделать вашу защиту сильнее, чем она была.

Начинаю с локализации и первичной сортировки. Изолирую скомпрометированные узлы, отзываю украденные учётные данные и сохраняю летучие данные, пока они не исчезли. Дальше — глубокий разбор: изучаю системные, сетевые и прикладные журналы, снимаю и анализирую образы памяти и дисков, прохожу по хронологии действий злоумышленника шаг за шагом, нахожу точку первого проникновения и всё, к чему он прикасался. Со всеми уликами работаю с задокументированной цепочкой хранения — если материалы понадобятся для страховой, регулятора или суда, они выдержат проверку. Каждый вывод формулирую человеческим языком, а не набором терминов, чтобы действовать могли и инженеры, и руководство.

В итоге вы получаете полный отчёт по устранению последствий: что произошло, каким образом, какие данные и системы затронуты, что я сделал для локализации и приоритизированный список исправлений, закрывающих бреши окончательно. Работаю только по защите и только с разрешения — на системах, которыми вы владеете или которые вправе расследовать, и прошу письменно согласовать границы работ до начала.

— Круглосуточная локализация во время активного инцидента
— Форензический анализ журналов, памяти и дисков
— Установление первопричины и полной хронологии атаки
— Обращение с уликами с документированной цепочкой хранения
— Приоритизированный отчёт и дорожная карта укрепления защиты