- Направление
- Реагирование на инциденты и DFIR
- Ведущий
- Joey Victorino — личное ведение
- Основание
- Привлечение во время или после инцидента · сначала сохранение доказательств
- Контакты
- joey@victori.no
Когда доказательства должны объяснить, что произошло.
Вторжение продолжается, либо оно объявлено локализованным, а доказательства по-прежнему не объясняют, что произошло. Работа может начаться во время инцидента или после того, как другая команда его закрыла.
Что я делаю
Реагирование и криминалистика
Криминалистический сбор данных, реконструкция хронологии, анализ конечных точек и учётных записей, определение объёма утечки, триаж вредоносного ПО, анализ закрепления, локализация и восстановление.
Threat hunting
Поиск угроз на основе гипотез по аутентификации, плоскостям управления, рабочим нагрузкам и телеметрии, когда оповещений недостаточно или объём неясен.
Проверка доказательств после инцидента
Что подтверждают материалы расследования, что не подтверждают и что не было изучено.
По вопросу закрытия на уровне совета директоров см. Проверка закрытия инцидента.
Что Вы получаете
Стабилизированный инцидент, доказательства, сохранённые до их утраты, и письменный отчёт, отделяющий известное от предполагаемого. Открытые вопросы названы, а не сглажены.
Результат — письменное заключение в формате образца меморандума: вопрос, изученные доказательства, допущения, на которых оно основано, выводы, неизвестные и дальнейшие шаги. С этим форматом можно ознакомиться до звонка.
