Цифровая форензика помогает компаниям расследовать кибератаки, утечки данных и действия инсайдеров, сохраняя доказательства для внутренних проверок и судебных разбирательств. Однако зачастую бизнес начинает расследование слишком поздно, когда журналы событий уже удалены, а следы злоумышленников потеряны. Эксперты рекомендуют заранее выстраивать процессы сбора и хранения цифровых доказательств, определять ответственных и регулярно проверять готовность к инцидентам. Управляющий RTM Group Евгений Царев рассказал, как выбирать инструменты цифровой криминалистики и оценивать эффективность их внедрения.
Евгений Царев:
Оценить эффективность форензики после внедрения можно через два пути — внутренние учения и внешние. В рамках внутренних выполняется нарушение целостности или доступности информации, например, удаление каталога в сетевом ресурсе, — и засекается время расследования. Сценарий может быть усложнен, в зависимости от целей защиты. Важно, что использование вредоносов даже в рамках учений — противозаконно. В рамках внешнего аудита (предпочтительнее комплексный пентест — он даст дополнительные сведения об уязвимостях инфраструктуры). Тот же сценарий, только со сторонними исполнителями. Для глубины анализа можно даже немного «поддаться» тестировщикам и дать, например, перехватить учетку администратора или отключить антивирус на одном из хостов. В любом случае, время расследования будет показательно. Строгих нормативов нет, все зависит от аппетитов компании. Чем быстрее — тем дороже
Подробности: Кибер Медиа
