После обнаружения атаки нужно понять её масштаб, сохранить следы и согласовать действия с ИТ-командой. Специалисты по реагированию сдерживают инцидент, а цифровые криминалисты исследуют устройства, память и сетевые данные. Важно аккуратно работать с доказательствами и объяснять свои выводы. Анализ вредоносных файлов помогает установить поведение использованного в атаке ПО; для сложных образцов подключают аналитика ВПО и реверс-инженера.
Должность
Специалист по реагированию на инциденты
Организует технические действия по инциденту, согласует сдерживание и помогает восстановить работу с сохранением необходимых данных.
- Определять масштаб инцидента
- Планировать локализацию инцидента
- Проверять устранение и восстановление
- Собирать цифровые артефакты
- Согласовывать решения с другими командами
- Анализировать события безопасности
- Восстанавливать хронологию
Базовые знания: Управление инцидентом; События рабочих станций и серверов; Журналы событий и синхронизация времени; TCP/IP и адресация; Бизнес-процессы; Резервирование и восстановление; Цифровые артефакты; Управление сервисом; Техническая аргументация.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Форматы файлов: PE, ELF, документы и скрипты; Изолированная лаборатория анализа ВПО.
Должность
Специалист по цифровой криминалистике
Собирает и исследует цифровые артефакты, восстанавливает действия участников инцидента и оформляет проверяемые выводы. Требования к процессуальной экспертизе зависят от задачи.
- Собирать цифровые артефакты
- Исследовать дисковые артефакты
- Исследовать оперативную память
- Восстанавливать хронологию
- Готовить технический отчёт
Базовые знания: Цифровые артефакты; Журналы событий и синхронизация времени; Техническая аргументация; Проверка источников и достоверности сведений; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Форматы файлов: PE, ELF, документы и скрипты; Изолированная лаборатория анализа ВПО.
Должность
Аналитик вредоносного ПО
Исследует вредоносные файлы и скрипты: объясняет их поведение, извлекает признаки для обнаружения и помогает SOC, реагированию и Threat Intelligence.
- Проводить статический анализ ВПО
- Проводить динамический анализ ВПО
- Проводить реверс-инжиниринг программ
- Определять тактики и техники атакующего
- Готовить технический отчёт
- Разрабатывать правила поиска ВПО
- Проверять и обогащать индикаторы компрометации
Базовые знания: Форматы файлов: PE, ELF, документы и скрипты; Выполнение программ и память; Основы программирования; Изолированная лаборатория анализа ВПО; TCP/IP и адресация; Цифровые артефакты; Архитектура процессора и ассемблер; Тактики и техники атакующих / TTP; Проверка источников и достоверности сведений; Техническая аргументация; Бизнес-процессы; DNS, HTTP и TLS; API и интеграции.
Зависит от используемых систем: Устройство Windows; Устройство Linux.
Должность
Руководитель команды реагирования
Координирует команды и решения во время значимого инцидента: техническое реагирование, коммуникации и восстановление деятельности.
- Координировать реагирование на инцидент
- Согласовывать решения с другими командами
- Организовывать работу сервиса ИБ
- Развивать команду
- Оценивать влияние сбоев на бизнес
Базовые знания: Управление инцидентом; Управление сервисом; Бизнес-процессы; Организация работы команды; Техническая аргументация; Показатели качества; Обучение взрослых; Резервирование и восстановление; Риск и последствия.
Специализация
Форензика рабочих станций и серверов
Исследует артефакты конечных точек и обосновывает последовательность действий.
- Собирать цифровые артефакты
- Исследовать дисковые артефакты
- Исследовать оперативную память
- Восстанавливать хронологию
Базовые знания: Цифровые артефакты; Журналы событий и синхронизация времени; Техническая аргументация.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Active Directory.
Специализация
Сетевая форензика
Восстанавливает сетевую часть инцидента по трафику и связанным артефактам.
- Исследовать сетевые артефакты
- Анализировать сетевой трафик
- Восстанавливать хронологию
- Собирать цифровые артефакты
- Готовить технический отчёт
Базовые знания: Цифровые артефакты; TCP/IP и адресация; DNS, HTTP и TLS; Журналы событий и синхронизация времени; Техническая аргументация; Проверка источников и достоверности сведений; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux.
