Ещё одна хорошая, вдумчиво написанная статья: «Цифровое преступление — как расследовать».

Коллеги из SEBERD собрали очень правильный алгоритм: как фиксировать инцидент, не уничтожить следы, определить границы расследования и собрать доказательства. Рекомендую к прочтению всем, кто сталкивается с ИБ.

Читая её, вспомнила свой опыт.

Когда я расследовала подобные инциденты в рамках своих ИС, я проверяла и IP-адреса устройств, с которых работал пользователь.

Как это выглядело:

Я брала много его документов за промежуток времени длительностью около года и сличала IP, с которых пользователь делал свои операции в ИС.

· Если выяснялось, что он работал с устройств с разными IP — я устанавливала их все. · Если это был рабочий комп и рабочий ноутбук — вопросов нет. · А если в списке всплывало неопознанное для рабочей сети устройство (или комп, числящийся за другим сотрудником) — материалы уходили сначала в отдел инфраструктуры, чтобы они идентифицировали IP, потом мне для анализа, потом если нужно - в юридический департамент.

Меня интересовали именно цифровые преступления конкретно в ИС. Применительно к инфраструктуре — это уже не мой функционал, там ИБ, именно о таком роде цифровых преступлений говориться в статье (но почитать интересно).

Кстати, в статье есть важная мысль: скриншот — это не доказательство. Доказательство — это исходный экспорт журнала с метаданными. И это абсолютно верно.

Именно поэтому в моей практике все действия с административными изменениями в ИС производились только на основе заявки, которая фиксировалась в ServiceDesk, а действия администраторов логировались в журнале аудита.

Ну и я сделала все, чтобы конкретно по моим ИС записи в ServiceDesk хранились максимально долго.

Мои системы позволяли отправлять письма из системы во-вне (сторонним адресатам по электронной почте) через адрес на нашем собственном почтовом сервере. С такими отправками тоже было много эксцессов. Поэтому почтовиков я тоже организовала (хотя они не мое ведомство) хранить логи отправок с такого-то системного адреса не полгода, а гораздо дольше. Несколько раз они очень сильно помогли.

Вообще, с отправками писем из ИСов много проблем.

Ведя ИС, вы не можете отвечать за все фильтры принимающего почтового сервера, за то, что на нём отправляющий сервер не будет в черном списке, за то, что письмо у владельца конечного устройства не попадет в спам или на нем не закончится место именно перед вашим письмом. Я вечно искала какого-нибудь администратора какого-нибудь почтового сервера какой-нибудь налоговой или прокуратуры, где адрес моей ИС был в черном списке, чтобы его оттуда достали и вставили в белый список.

Все это - тоже одна из сфер работы того, кто управляет эксплуатацией ИС.

Цифровое расследование: сбор и сохранение доказательств | SEBERD https://seberd.ru/29542/