Как расследуют компьютерные инциденты?

Question

[Марк Розенталь]

Прив!
Я тут решил поинтересоваться, как в России происходит расследование. С точки зрения закона не все ясно, но это не интересно.
Чем анализируют данные? Снимают копии? Что если нарушитель успел включить блокировку, а спустя 10 минут данные уничтожаются, или при неверных вводах, например?
Как доказывают, кто этим занимается, кому какие выгоды?

Comments

[sim3x]

>Как доказываю
"чистосердечное" признание...

Answer 1

[nirvimel]

По этой книге все следователи работают, потому что другой в общем-то и нет.

Comments

[Alister O]

По мне эта книга написано для следователей РОВД.

Answer 2

[Владимир Мартьянов]

Берут и расследуют. Кража базы сотрудником при помощи тупо флешки - одно, инфицирование машины с получением доступа - другое. Визит домой к участникам первых двух сценариев - третье.

Answer 3

[Alister O]

Расследует смотря кто, в банках обычно согласно исо 27001 или itil есть процесс инцидент менеджмент, в политиках написано как реагировать (ответ на инцидент) согласно дорожной карте подключается другой процесс это DFI цифровая криминалистика, расследование. Действуют согласно процедуре, например снимается дамп памяти, жёсткого диска, с сетевого оборудования netflow. Как часто бывает dfi это посмертная процедура, когда уже угроза выявлена, локализована и устранена, или находится в приемлемом состоянии. При dfi задача стоит определении хронологии, и отчёта, после чего необходимо пересмотреть риски, и наконец принять, понизить или передать риски.
Для dfi имеются платные приложения и бесплатные, платные автоматизированы и если есть опыт то можно им пользоваться так как это упрощает процесс и экономит время.