Ретроспективный анализ

Мы рекомендуем провести исследование всех конечных точек и журналов СЗИ в инфраструктуре. Также доступен формат исследования ограниченного количества узлов или сегментов инфраструктуры.

• доменные контроллеры;
• почтовые серверы;
• средства защиты информации;
• сервисы виртуализации;
• сервисы и узлы, публично доступные из интернета (веб-сервисы, VPN-шлюзы и т. д.);
• сервисы внутренних информационных систем (базы знаний, системы документооборота и т. д.);
• рабочие станции администраторов;
• терминальные серверы;
• сервисы централизованного управления инфраструктурой.

В среднем, проект длится 30 рабочих дней. Все зависит от общего количества данных, скорости их сбора и передачи специалистам PT ESC IR.

Только в случае особой необходимости. Для большей оперативности и полноты исследования мы настоятельно рекомендуем удаленный формат.

PT ESC IR в своей работе придерживается host-driven подхода и ориентируется на первоисточники (конечные точки). В первую очередь мы анализируем дампы с узлов и сетевого оборудования, а также журналы систем EPP, SIEM, NTA, NGFW и NetFlow.

Расследование инцидента — это оперативная работа по горячим следам инцидента, которая направлена на то, чтобы предотвратить его развитие. А ретроспективный анализ — это, в первую очередь, превентивное изучение инфраструктуры с целью выявления факта присутствия APT-группировок и предотвращения реализации недопустимых событий.

Да, на протяжении всего проекта команда PT ESC IR остается на связи с клиентом и всегда отдельно сообщает о потенциально критичных обнаруженных эпизодах нежелательной/нелегитимной активности и запрашивает дополнительную информацию.

Отчет с описанием всех выявленных в инфраструктуре инцидентов, оценку их опасности и рекомендации по реагированию.