Определение границ инцидента (scoping)
Простыми словами
Команда отвечает не только на вопрос «что случилось», но и выясняет, где ещё присутствует тот же признак и насколько далеко распространился атакующий.
Как применяется
Scoping выполняют параллельно с локализацией: строят временную шкалу, ищут связанные индикаторы, проверяют соседние активы и регулярно пересматривают рабочую гипотезу.
Пример применения
После компрометации одной учётной записи команда ищет её входы, выданные токены, действия на других хостах и доступ к облачным ресурсам за подтверждённый период.
Не путать с
- СравнениеКлассификация определяет тип и приоритет инцидента; scoping устанавливает его фактический охват и границы.
Как это работает
- Начальная гипотезаФиксируют исходное событие, актив и известный временной интервал.
- Расширение поискаПроверяют связанные идентификаторы, адреса, учётные записи и действия.
- ПодтверждениеОтделяют затронутые объекты от совпадений и документируют доказательства.
- Пересмотр границПосле новых данных повторяют поиск, пока критерии завершения не подтверждают полноту охвата.
Продолжить изучение
Частые вопросы
Сразу после первичного подтверждения, не откладывая до полного понимания причины.
Что считать затронутой системой?Объект, где подтверждены действия, артефакты или зависимость, существенная для сценария инцидента.
Когда границы можно считать установленными?Когда определены критерии поиска, проверены релевантные источники и новые итерации не расширяют подтверждённый охват.