SOC / NOC · Usługa specjalistyczna
Informatyka śledcza i analiza incydentów — Digital Forensics
Po incydencie trzeba ustalić, co się wydarzyło i jak daleko mogły sięgać działania napastnika. Zabezpieczamy dostępny materiał i prowadzimy analizę odpowiadającą konkretnym pytaniom technicznym oraz organizacyjnym.
Zakres usługi
Informatyka śledcza
Badanie może obejmować logi, obrazy dysków, pamięć operacyjną i podejrzane pliki. Dobór materiału zależy od celu analizy, dostępności śladów i stanu systemów. Dokumentujemy pozyskanie, przekazywanie oraz wykonane czynności, a w raporcie wyraźnie oddzielamy ustalenia od hipotez i luk w materiale.
Plan zabezpieczenia materiału
Wybieramy źródła istotne dla pytań badawczych, uwzględniając ich dostępność oraz ryzyko utraty lub zmiany śladów.
Pozyskanie i dokumentacja
Rejestrujemy źródła, sposób pozyskania i przekazywania materiału oraz czynności potrzebne do zachowania jego integralności.
Analiza techniczna
Badamy uzgodniony materiał, korelujemy zdarzenia i identyfikujemy ślady istotne dla przebiegu oraz zasięgu incydentu.
Raportowanie ustaleń
Opisujemy potwierdzone obserwacje, poziom niepewności, ograniczenia i pytania wymagające dodatkowych danych lub specjalistycznych prac.
Rezultaty prac
Co otrzymuje Twój zespół?
- Rejestr pozyskanego i przekazywanego materiału.
- Udokumentowane czynności analityczne.
- Oś czasu i raport ustaleń wraz z ograniczeniami.
- Rekomendacje dalszych analiz oraz działań naprawczych.
Warunki realizacji
Co ustalamy przed startem?
- Uzgodniony cel badania i umocowanie do dostępu do materiału.
- Dostęp do wskazanych systemów lub zabezpieczonych kopii danych.
- Zasady przechowywania, udostępniania i zakończenia pracy z materiałem.
Sposób pracy
Od rozpoznania potrzeby do weryfikacji wyniku.
Określenie celu i materiału
Uzgadniamy pytania, dostępne źródła oraz bezpieczny sposób ich pozyskania i przekazania.
Badanie śladów
Prowadzimy udokumentowaną analizę, porównujemy źródła i sprawdzamy możliwe wyjaśnienia obserwowanych zdarzeń.
Przekazanie wyników
Omawiamy ustalenia, luki w materiale i wynikające z nich zalecenia dla dalszej obsługi incydentu.
Czytelna odpowiedzialność
Co jest już w podstawie, a co rozszerzamy?
SOC zabezpiecza podstawowy materiał operacyjny i analizuje incydent w dostępnej telemetrii. Digital Forensics rozszerza zakres o pogłębione badania śledcze, specjalistyczne źródła i odrębne pytania badawcze; nie zastępuje bieżącej reakcji SOC.
Przed podjęciem decyzji
Pytania o informatyka śledcza
Czy analiza zawsze odtworzy pełny przebieg ataku?
Nie. Możliwości zależą od zachowanych śladów, retencji, jakości logów i zmian w systemach. Raport wskazuje, których elementów nie można wiarygodnie rozstrzygnąć.
Czy można analizować już odtworzony serwer?
Można zbadać dostępny materiał, ale odtworzenie mogło zmienić lub usunąć część śladów. Dlatego sposób zabezpieczenia danych warto uzgodnić przed kolejnymi zmianami.
Czy każda analiza obejmuje badanie złośliwego oprogramowania?
Zakres podejrzanych plików i głębokość ich analizy są ustalane osobno. Usługa nie oznacza nieograniczonego badania każdego rodzaju malware.
Powiązane kompetencje
Połącz działania, które się uzupełniają.
Kolejny krok
Ustalmy zakres, który ma sens dla Twojej organizacji.
Porozmawiajmy o środowisku, priorytetach i odpowiedzialności zespołów. Na tej podstawie określimy zakres prac, wymagane dostępy oraz warunki obsługi.