Определение границ инцидента (scoping)

§§IBT7§§¶@definition¶Определение границ инцидента (scoping) — установление затронутых систем, учётных записей, данных, временного интервала и возможного пути развития инцидента.¶@plain¶Команда отвечает не только на вопрос «что случилось», но и выясняет, где ещё присутствует тот же признак и насколько далеко распространился атакующий.¶@use¶Scoping выполняют параллельно с локализацией: строят временную шкалу, ищут связанные индикаторы, проверяют соседние активы и регулярно пересматривают рабочую гипотезу.¶@example¶После компрометации одной учётной записи команда ищет её входы, выданные токены, действия на других хостах и доступ к облачным ресурсам за подтверждённый период.¶@compare¶Сравнение¦¦Классификация определяет тип и приоритет инцидента; scoping устанавливает его фактический охват и границы.¶@steps¶Начальная гипотеза¦Фиксируют исходное событие, актив и известный временной интервал.¤Расширение поиска¦Проверяют связанные идентификаторы, адреса, учётные записи и действия.¤Подтверждение¦Отделяют затронутые объекты от совпадений и документируют доказательства.¤Пересмотр границ¦После новых данных повторяют поиск, пока критерии завершения не подтверждают полноту охвата.¶@resources¶Курсы по реагированию на инциденты¦https://ibcourses.ru/ires¦Курс¤Реагирование на инциденты: этапы, роли и инструменты¦https://ibcourses.ru/blog-cybersecurity/reagirovanie-na-incidenty-ib-etapy-roli-instrumenty¦Статья¶@related¶¶@faq¶Когда начинать scoping?¦Сразу после первичного подтверждения, не откладывая до полного понимания причины.¤Что считать затронутой системой?¦Объект, где подтверждены действия, артефакты или зависимость, существенная для сценария инцидента.¤Когда границы можно считать установленными?¦Когда определены критерии поиска, проверены релевантные источники и новые итерации не расширяют подтверждённый охват.