Specjaliści reagowania na incydenty i analizy śledczej

Digiventi dostarcza specjalistów reagowania na incydenty, którzy dołączają do zespołu przy podejrzeniu włamania lub trwającym ataku. Analizują dostępną telemetrię i ustalają chronologię zdarzeń. Oddzielają potwierdzone naruszenia od alertów wymagających weryfikacji.

Podczas ataków ransomware lub bezpośrednich działań napastnika w systemach eksperci odtwarzają jego aktywność i określają zakres izolacji. Mogą odizolować zainfekowane urządzenia, unieważnić przejęte sesje, zablokować wskaźniki ataku i skoordynować zabezpieczenie dowodów przed zmianami niszczącymi ślady. Decyzje uwzględniają zależności biznesowe oraz ryzyko przerwania istotnych usług.

Analitycy informatyki śledczej odtwarzają przebieg zdarzeń, gdy przyczyna lub zakres incydentu pozostają niejasne. Dokumentują pozyskanie materiału i obliczają kryptograficzne sumy kontrolne. Prowadzą też rejestr przekazywania dowodów odpowiedni do prowadzonego dochodzenia.

• Analiza urządzeń i pamięci: Badają artefakty dyskowe oraz pamięć operacyjną przy użyciu narzędzi takich jak Velociraptor i Volatility. Szukają śladów wykonania kodu oraz mechanizmów utrzymania dostępu.
• Chronologia i dokumentacja dowodowa: Korelują artefakty systemowe z dziennikami bezpieczeństwa. Oddzielają ustalenia od założeń i opisują ograniczenia analizy. W razie potrzeby uzgadniają dostęp do dowodów oraz ich retencję z działem prawnym lub osobami odpowiedzialnymi za ochronę danych.

Specjaliści reagowania na incydenty w chmurze badają przejęcia kont i służbowej poczty elektronicznej, w tym nadużycia uprawnień administracyjnych. Ustalają, których tożsamości użyto oraz jakie działania można potwierdzić na podstawie dostępnych dzienników.

• Microsoft 365 i Entra ID: Sprawdzają rejestry logowań oraz dzienniki audytu skrzynek pocztowych. Weryfikują podejrzane reguły przekazywania wiadomości i nieautoryzowane zgody na dostęp aplikacji.
• Warstwa zarządzania chmurą: Analizują AWS CloudTrail lub Azure Activity Log, aby odtworzyć nieautoryzowane zmiany i wskazać mechanizmy utrzymania dostępu. Pomagają odebrać dostęp z zachowaniem istotnych dowodów audytowych.

Specjaliści wspierają odtwarzanie środowiska po ograniczeniu ataku. Sprawdzają usunięcie przejętych dostępów i rozpoznanych mechanizmów utrzymania obecności. Po ataku ransomware weryfikują integralność kopii zapasowych oraz zależności odtwarzania przed przywróceniem usług. Odszyfrowanie danych ani ich pełne odzyskanie nie są pewne.

W ramach stałego przygotowania konsultanci opracowują procedury reagowania i prowadzą ćwiczenia scenariuszowe. Po incydencie przekładają ustalenia na zadania naprawcze z jednoznacznymi kryteriami weryfikacji. Braki w rejestrowaniu zdarzeń oraz ograniczenia retencji dowodów stają się konkretnymi zmianami do przetestowania przed kolejnym incydentem.