何が起きたのかを、証拠で説明しなければならないとき。

侵入が進行中である、または封じ込め済みと宣言されたが、証拠が依然として何が起きたかを説明していない。作業はインシデントの最中にも、別のチームが終結させた後にも開始できます。

提供する業務

インシデント対応・フォレンジック フォレンジック取得、 タイムラインの再構成、エンドポイントとアイデンティティの分析、侵害範囲の特定、マルウェアのトリアージ、永続化の分析、封じ込め、復旧。

脅威ハンティング 仮説駆動型ハンティング を、アラートが不十分または範囲が不確かな場合に、認証、コントロールプレーン、ワークロード、テレメトリにわたって実施します。

インシデント後の証拠レビュー 調査記録が何を裏付け、 何を裏付けず、何が調査されなかったか。取締役会レベルの終結の問いについては、こちらを参照：インシデント終結レビュー.

安定化されたインシデント、劣化する前に保全された証拠、そして既知の事実と推論を区別した書面の記録。未解決の問いは、曖昧にせず明示します。

成果物は書面による結論として、サンプル・メモランダムの形式でお渡しします。検討すべき問い、レビューした証拠、前提とする仮定、所見、未解明の事項、次に取るべき行動を記載します。この形式は、ご連絡の前にお読みいただけます。