Разбираем сохранённые данные и восстанавливаем подтверждённую картину произошедшего: когда началось, каким путём вошли, докуда дошли, что осталось в инфраструктуре. Отдельно проверяем историю на индикаторы известных атак — даже если инцидента вы не замечали.
Атака почти никогда не начинается в день обнаружения. Между проникновением и обнаружением проходят дни, недели, а при скрытой целевой активности — месяцы. Если убрать только видимое, первоначальный вектор и механизмы закрепления останутся — а вместе с ними и путь обратно.
Если организация столкнулась с инцидентом, руководству нужно быстро получить ответы на четыре вопроса, и они не технические:
Под одним названием мы оказываем три разные по объёму и срочности работы. Они могут выполняться отдельно или дополнять друг друга.
Известен набор индикаторов — из бюллетеня НКЦКИ, уведомления вендора, сообщения о взломе подрядчика, утечки учётных данных. Проверяем сохранённые данные на присутствие этих индикаторов и связанных техник за оговорённый период и даём заключение. Ограниченный объём, короткий срок, предсказуемая стоимость.
Полный анализ сохранённых данных: хронология, первоначальный вектор, перечень затронутых систем и учётных записей, оценка последствий, поиск остаточного присутствия, план устранения. Основной формат после выявленного инцидента.
Первичные действия при активной атаке: локализация, ограничение распространения, сохранение данных для последующего разбора. Это отдельная услуга со своим порядком подключения — она останавливает происходящее, тогда как расследование выясняет, что именно происходило. На практике часто идут параллельно: сначала останавливаем, затем и одновременно разбираемся.
Универсального порядка действий не существует: при шифровальщике, разрушительной атаке, инциденте в технологическом сегменте или при риске физического ущерба приоритеты разные. Общее правило одно.
Не предпринимайте несогласованных действий, которые могут уничтожить следы или расширить ущерб. Порядок изоляции систем, отключения учётных записей, отзыва токенов, смены привилегированных паролей и сохранения содержимого оперативной памяти определяется с учётом характера атаки и вашего плана реагирования.
Что безопасно сделать сразу:
Обнаружен шифровальщик — нужно понять, каким путём вошли и что успели получить до шифрования. Зафиксирована утечка — нужно установить период, канал и характер затронутых данных. Выявлено вредоносное ПО на серверах или рабочих станциях. Инцидент устранили, а через время он повторился — значит, причину не убрали. В инфраструктуре обнаружились необъяснимые артефакты: новые учётные записи, задания планировщика, службы, туннели, исходящие соединения с неизвестными адресами.
НКЦКИ, ФСТЭК или вендор опубликовали индикаторы по актуальной кампании. Скомпрометирован подрядчик, поставщик ПО или интегратор — атака через доверенные связи. В утечках обнаружены учётные данные ваших сотрудников или сервисных записей. В отрасли идёт волна атак и есть смысл проверить себя заранее.
Инфраструктура досталась «по наследству»: сменился подрядчик, ушёл администратор, приобрели компанию. Запускаете мониторинг или подключаетесь к ГосСОПКА и хотите начать с проверенного состояния. Регулятор запросил информацию по инциденту, а внятной технической картины нет.
Ретроспективный анализ не гарантирует полной картины. Его глубина определяется не квалификацией аналитика, а тем, что вы сохранили до инцидента.
Как правило, устанавливается:
Устанавливается при наличии достаточных данных:
Не обещаем:
Состав источников определяется на этапе обследования — он же определяет реальную глубину анализа.
Журналы операционных систем, контроллеров домена, серверов приложений и баз данных
События в SIEM, если система развёрнута
Телеметрия EDR и NDR, антивирусных средств
Журналы межсетевых экранов, прокси, DNS, VPN и удалённого доступа
Почтовые системы и корпоративные сервисы совместной работы
Журналы облачных платформ и SaaS-сервисов
Системы управления идентификацией и доступом, SSO, MFA, журналы выдачи и отзыва токенов
PAM и DLP, если используются
Журналы виртуализации и гипервизоров, средств резервного копирования, включая облачные копии
Контейнерные среды и оркестраторы
Артефакты на конечных точках: автозагрузка, службы, задания планировщика, следы запусков, сетевые подключения
Образы дисков и содержимое оперативной памяти — по согласованию, когда это оправдано
Фиксируем вводные: что известно, когда и по каким признакам заметили, что уже сделано. Определяем границы работ, критичные системы, режим (гласный или ограниченным кругом лиц), порядок обмена информацией.
Определяем, какие данные есть и за какой период. По результатам сообщаем, что реально можно установить, — до начала основных работ.
Снимаем журналы, телеметрию и наборы артефактов так, чтобы не разрушить следы и зафиксировать целостность собранного. Дальше работаем с копиями.
Индикаторы из бюллетеней НКЦКИ и вендоров, данные threat intelligence, характерные техники по матрице MITRE ATT&CK, отраслевые сценарии. Гипотезы формулируются проверяемо: не «нас взломали», а «была ли активность вида X на системах Y в период Z».
Прогоняем индикаторы и поисковые запросы по доступной истории всех подключённых источников.
Работаем с тем, что осталось на системах, включая следы удалённого инструментария.
Складываем подтверждённое в единую линию времени: проникновение → закрепление → повышение привилегий → разведка → продвижение → достижение цели, с привязкой к системам, учётным записям и датам.
Затронутые системы, скомпрометированные учётные записи, возможный доступ к данным. Установленное фактами и то, что нельзя исключить, разделяются и в отчёте не смешиваются.
Отдельная задача — найти то, что осталось после «уборки». Именно на этом чаще всего происходит повторный инцидент.
Три горизонта: немедленно, ближайшие недели, системные изменения. Приоритизация по риску.
Разбираем результаты с вашими специалистами и передаём выявленные индикаторы для дальнейшего автоматического выявления.
Отчёт — что искали, где, за какой период, что найдено, что не найдено и что осталось непроверенным
Хронологию подтверждённых событий с датами, системами и учётными записями
Перечень затронутых систем и скомпрометированных учётных записей
Перечень выявленных индикаторов компрометации в машиночитаемом виде
Оценку возможного объёма и характера утечки — с разделением: подтверждено / не исключено / исключено
Перечень остаточного присутствия и порядок его устранения — что удалить, отключить, перевыпустить, сбросить
План устранения с приоритетами
Резюме для руководства — без терминов, на языке решений
Техническую основу для взаимодействия с регуляторами — сведения в объёме, необходимом для уведомления НКЦКИ или Роскомнадзора; юридическую квалификацию инцидента выполняет ваш юрист или DPO
Адреса, домены и хэши злоумышленник меняет за час, способ действия — редко. Поиск строится и по конкретным индикаторам, и по характерным техникам MITRE ATT&CK: так находится не только описанная в бюллетене кампания, но и её вариации.
В отчёте видно, где вывод опирается на подтверждённые данные, а где это наиболее вероятный сценарий. Смешение этих слоёв — главная причина, по которой отчёты о расследованиях не выдерживают проверки.
Задача — ответить на вопросы руководства: докуда дошли, что затронуто, что осталось открытым. Всё остальное — приложение.
Найденное нужно устранить. Передаём план вашей команде или закрываем работы сами — от точечного устранения до перестройки защиты и мониторинга. Устранение оформляется отдельным составом работ.
В ходе расследования мы получаем доступ к чувствительной информации: журналам аутентификации, почтовым данным, образам систем, сведениям об уязвимостях инфраструктуры, а также к персональным и коммерческим данным. Порядок обращения с ними фиксируется до начала работ.
Расследование почти всегда идёт параллельно с обязанностью уведомить регулятора, и сроки там считаются в часах.
Субъектам КИИ, государственным органам и организациям — приказ ФСБ России от 25.12.2025 № 547 (действует с 30 января 2026 года, заменил приказ № 282 от 19.06.2019):
Отчёт по услуге не является заключением судебного эксперта. Он предназначен для принятия управленческих и технических решений и для подготовки сведений регулятору.
Если предполагается использование материалов в судебном, административном или уголовном процессе, об этом нужно сказать до начала сбора данных: отдельно согласуются порядок фиксации, контроль целостности, цепочка хранения носителей и необходимость привлечения специалиста с соответствующим процессуальным статусом. После того как данные собраны обычным порядком, изменить это задним числом нельзя.
Как начинается работа:
Разговор до 30 минут без подключения к инфраструктуре.
Согласование порядка доступа.
По его итогам сообщаем, что реально можно установить.
Ориентировочные сроки основных работ:
Проверка по индикаторам — от 3 до 5 рабочих дней
Ретроспективное расследование в типовой инфраструктуре — от 2 до 4 недель
Крупная распределённая инфраструктура, несколько площадок, длительный период — определяется по итогам обследования источников
Как правило, да. Удалён был инструмент, а не причина. Если первоначальный вектор остался открытым, а закрепление не найдено, риск повторной компрометации сохраняется. Кроме того, восстановление из копии может вернуть систему к состоянию, которое уже было скомпрометировано.
Смысл есть, но глубина будет ограничена. Кроме журналов работают артефакты конечных точек, резервные копии, сетевые и облачные данные. Доступную ретроспективу оцениваем до начала основных работ и говорим прямо, что реально установить, а что нет.
Компрометация обычно не выглядит как инцидент: ни шума, ни сбоев — тихий доступ, который используют или продают. Поводом для проверки служат не ваши симптомы, а внешние сигналы: бюллетень с индикаторами, взлом подрядчика, утечка учётных данных.
Мы восстановим техническую картину и, если следы позволяют, соотнесём её с известными кампаниями. Атрибуция не является целью работ, и обещать её было бы нечестно. Практический результат другой: каким путём вошли, докуда дошли, что осталось и как закрыть.
Нет. Основной объём — работа с копиями данных и журналами. Действия, способные повлиять на работу систем (например, съём образов или содержимого памяти), согласуются отдельно и планируются под ваш режим эксплуатации.
Зависит от гипотезы. Если не исключается участие или неосторожность кого-то внутри, работы ведутся ограниченным кругом лиц. Режим согласуем на установочной сессии.
Уведомление направляет организация. Мы даём техническую основу для него в необходимом объёме и в нужный срок; юридическую квалификацию инцидента и решение об уведомлении принимает ваш юрист или DPO.
Не предпринимать несогласованных действий, способных уничтожить следы или расширить ущерб, зафиксировать время и признаки обнаружения, прекратить изменение настроек хранения журналов — и позвонить. Порядок изоляции и отключения учётных записей определяется под конкретную ситуацию.
Расскажите, что происходит: обнаружен инцидент, пришли индикаторы от регулятора, скомпрометирован подрядчик или есть основания сомневаться в чистоте инфраструктуры. Оценим доступные данные, скажем, что реально установить, и назовём сроки и стоимость до начала работ.
Первичная оценка ситуации — бесплатно, до 30 минут, без подключения к инфраструктуре.