Что входит в услугу

Приём и регистрация обращения об инциденте в режиме 24/7, оперативное подключение специалистов.
Сбор и сохранение доказательств: логи, дампы памяти, образы дисков, сетевой трафик, артефакты вредоносной активности — с соблюдением требований, пригодных для последующего разбирательства и возможной передачи правоохранительным органам.
Установление причины инцидента: анализ вектора атаки, использованных уязвимостей, действий злоумышленника, хронологии событий.
Оценка последствий: определение, какие системы, данные и бизнес-процессы затронуты, что было скомпрометировано, изменено или похищено.
Локализация: изоляция скомпрометированных узлов, блокировка вредоносных процессов, отключение каналов утечки, остановка распространения атаки.
Устранение последствий: удаление вредоносного ПО, восстановление систем из чистых резервных копий, сброс учётных данных, закрытие уязвимостей, применённых злоумышленником.
Подготовка подробного отчёта о ходе и результатах расследования с хронологией, техническими деталями и выводами.
Разработка плана мероприятий для предотвращения повторных инцидентов: технические меры, организационные изменения, обновление политик и регламентов.
Рекомендации по улучшению процессов мониторинга и реагирования, чтобы будущие инциденты обнаруживались быстрее и наносили меньший ущерб.

Когда это нужно

· После наступления инцидента ИБ: утечка данных, взлом, заражение вредоносным ПО (шифровальщики, трояны), несанкционированный доступ, DDoS-атака, подозрительная активность, нарушение целостности данных.
· При подозрении на компрометацию, даже если явных признаков нет: аномальное поведение систем, необычный сетевой трафик, срабатывание средств защиты, сообщения от внешних источников (банки, партнёры, CERT).
· При обнаружении вредоносной активности в ходе внутреннего аудита или мониторинга.
· После утечки конфиденциальной информации (персональные данные, коммерческая тайна), когда необходимо установить масштаб и выполнить требования законодательства (уведомление Роскомнадзора и т.д.).
· При необходимости восстановить работоспособность критичных систем с минимальным простоем и потерями.
· Когда требуется провести внутреннее расследование действий сотрудников (инсайдерская угроза, нарушение политик).
· Для подготовки к возможным проверкам и разбирательствам, если инцидент привлёк внимание регуляторов, партнёров или клиентов.

Как проходит работа

Сообщение об инциденте → подключение и первичная оценка → сбор и сохранение доказательств → анализ и установление причины → локализация и устранение → подготовка отчёта и плана предотвращения. Сроки и состав работ — на странице «Как проходит работа».

Результат

По итогам разбора инцидента вы получаете:

Минимизированные потери от инцидента: благодаря оперативному реагированию и локализации ущерб сведён к минимуму, работоспособность систем восстановлена.
Подробный отчёт о том, как это произошло: полная хронология, технические детали, причины, действия злоумышленника, оценка затронутых данных и систем.
План исправления и предотвращения повторения: конкретные технические меры (патчи, настройки, новые средства защиты), организационные изменения (регламенты, обучение персонала), рекомендации по улучшению мониторинга и реагирования.
Собранные доказательства, которые могут использоваться для внутреннего разбирательства, взаимодействия с правоохранительными органами или уведомления регуляторов.
Повышенную готовность к будущим угрозам: выявленные в ходе разбора слабые места закрыты, процессы реагирования отлажены.
Психологическую уверенность: вы знаете, что даже в случае инцидента у вас есть команда, способная быстро взять ситуацию под контроль и извлечь уроки.

Разбор инцидента — это не только восстановление после атаки, но и возможность усилить защиту, чтобы следующий инцидент не повторился или прошёл с минимальным ущербом!