последний рубеж, когда превентивные меры не сработалиthe last line once prevention has already failed

Incident response и форензикаIncident response & forensics

Что делать после взлома: IR-плейбук, сбор улик и цепочка хранения, форензика хоста/сети, коммуникация и disclosure — последний рубеж, когда превентивные меры уже не сработали. Каркас: 11 карточек, страницы ещё не написаны.What to do after a breach: an IR playbook, evidence collection and chain of custody, host/network forensics, communication and disclosure — the last line once prevention has already failed. Skeleton: 11 cards, pages not yet written.

IR-процессIR process

классический жизненный цикл реагированияthe classic response lifecycle

Жизненный цикл IRThe IR lifecycleПодготовка, идентификация, сдерживание, устранение, восстановление, разбор выводов — плейбук в духе NIST/SANS.Preparation, identification, containment, eradication, recovery, lessons learned — a NIST/SANS-style playbook.interview Сдерживание: краткосрочное и долгосрочноеContainment: short- and long-termБыстрая изоляция затронутых систем без потери улик, разница между тактическим сдерживанием и долгосрочной стратегией устранения.Fast isolation of affected systems without destroying evidence, the difference between tactical containment and a longer-term eradication strategy. IR playbook и роли & rolesЗаранее прописанные сценарии реагирования по типу инцидента, распределение ролей (incident commander, forensics lead, communications) до того, как инцидент случился.Pre-written response scenarios by incident type, role assignment (incident commander, forensics lead, communications) decided before the incident happens.

ФорензикаForensics

улики, которые выдержат проверкуevidence that holds up to scrutiny

Сбор улик и цепочка храненияEvidence collection & chain of custodyПорядок волатильности данных при сборе, документирование каждого шага, почему нарушенная цепочка хранения делает улики бесполезными юридически.Order of volatility when collecting data, documenting every step, why a broken chain of custody makes evidence legally worthless. Форензика хостаHost forensicsСнятие образов диска и памяти, разница между live response и офлайн-анализом, артефакты файловой системы и реестра.Disk and memory imaging, live response vs offline analysis, filesystem and registry artifacts. Сетевая форензикаNetwork forensicsЗахват трафика (pcap), анализ flow-логов постфактум, восстановление маршрута атакующего по сетевым артефактам, когда хостовые логи уже уничтожены.Packet captures (pcap), post-hoc flow-log analysis, reconstructing the attacker's path from network artifacts when host logs are already gone. Восстановление таймлайнаTimeline reconstructionСведение улик с хоста, сети и приложений в единую хронологию атаки — от первичного проникновения до обнаружения.Merging host, network, and application evidence into a single attack chronology — from initial access to discovery.

Коммуникация и раскрытиеCommunication & disclosure

кому, когда и что говоритьwho to tell, when, and how much

Внутренняя эскалацияInternal escalationКого и когда уведомлять внутри компании по мере роста серьёзности инцидента, отделение технической коммуникации от управленческой.Who to notify internally and when, as an incident's severity grows, separating technical communication from management communication. Юридические и регуляторные требованияLegal & regulatory notificationСроки уведомления регуляторов и пострадавших пользователей по применимым нормам, почему это часто жёстче, чем кажется технической команде.Deadlines for notifying regulators and affected users under applicable rules, why this is often stricter than the technical team expects. Coordinated disclosureПубличное раскрытие: тайминг, согласование с исследователями/партнёрами, баланс между прозрачностью и риском повторной эксплуатации.Public disclosure: timing, coordination with researchers/partners, balancing transparency against the risk of re-exploitation. Пост-инцидентный разборPost-incident retrospectiveBlameless postmortem как вход для доработки детекций и укрепления сети — связь с detection-soc и network-hardening.A blameless postmortem as input for improving detections and hardening the network — feeding back into detection-soc and network-hardening.

статусstatus

Это каркас: 11 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 11 cards are locked in, pages not yet written.