Расследование инцидентов

Расследование инцидентов информационной безопасности (форензика) — процесс детального анализа произошедшего киберинцидента для установления его причин, масштаба ущерба и предотвращения повторения в будущем. Профессиональное расследование критически важно для понимания действий злоумышленников и усиления защиты.

Специалисты КРЕДО-С проводят расследование с использованием методов компьютерной криминалистики. Первый этап — сбор и консервация цифровых доказательств: снятие образов дисков скомпрометированных систем, сохранение оперативной памяти, извлечение логов из различных источников. Все действия документируются для обеспечения юридической значимости результатов.

Производится анализ собранных артефактов с целью выявления индикаторов компрометации (IoC): следов вредоносного ПО, аномальных сетевых соединений, несанкционированных изменений файлов, подозрительных учётных записей. Восстанавливается хронология событий: точка первоначального проникновения, действия злоумышленника внутри сети, экфильтрация данных.

Определяются вектор атаки и используемые техники согласно фреймворку MITRE ATT&CK. Анализируются использованные инструменты и методы для атрибуции атаки возможным группировкам. Оценивается масштаб компрометации: какие системы были затронуты, какие данные могли быть украдены или повреждены.

По результатам расследования формируется детальный отчёт с описанием хронологии инцидента, технических деталей атаки, оценкой ущерба и рекомендациями по предотвращению аналогичных инцидентов. Для субъектов КИИ отчёт включает данные, необходимые для уведомления НКЦКИ в соответствии с требованиями 187-ФЗ и порядком взаимодействия с ГосСОПКА.

Результаты расследования напрямую влияют на расчёт показателя защищённости КЗИ по приказу ФСТЭК №117: выявленные уязвимости и нарушения учитываются при оценке текущего состояния защищённости организации. Рекомендации по усилению защиты позволяют устранить причины инцидента и повысить значение показателя КЗИ при последующем расчёте.

При необходимости КРЕДО-С взаимодействует с правоохранительными органами, предоставляя материалы расследования для возбуждения уголовных дел. Компания имеет лицензии ФСТЭК России и ФСБ России, более 33 лет опыта в информационной безопасности.