Reakce na incidenty se zaměřuje na přípravu na incidenty, jejich detekci a posouzení, omezení škody, odstranění příčin, obnovu provozu a učení z toho, co se stalo. Digitální forenzní analýza se zaměřuje na identifikaci, zachování, získání, zkoumaní, analýzu a reportování důkazů obhajitelným způsobem.
Disciplíny spolupracují: forenzní nálezy mohou založit rozsah, sekvenci a kořenovou příčinu, zatímco priority reakce určují, které otázky a systémy jsou nejdůležitější. Nesplývají však do jedné činnosti. Naléhavá reakce může potřebovat izolovat hostitele dříve, než je možná úplná akvizice, zatímco právní, regulační či disciplinární záležitost může vyžadovat přísnější zachování, původ a dokumentaci než běžný provoz.
Klíčové body
Připravenost důkazůPřed incidentem udržujte důvěryhodný čas, vhodné logování a uchovávání, schopnost akvizice, vyškolený personál, dokumentovanou autoritu a bezpečné úložiště důkazů.
Typické otázkyCo se stalo, kdy, jak, které identity a aktiva byly dotčeny, jaké důkazy závěr podporují a jaké riziko zůstává?
Disciplína rozhodováníZaznamenejte, kdo důkazy sbíral či zpracovával, metody a verze nástrojů, kontroly integrity, analytické předpoklady, akce reakce a podstatné mezery.
Důležité omezeníNe každý incident vyžaduje plné forenzní zobrazení a zachování není vždy jedinou prioritou. Týmy musí vyvážit důkazní hodnotu s bezpečností, soukromím, právními povinnostmi, dostupností služeb a potřebou zastavit probíhající škodu.