Az incidenskezelés az incidensekre való felkészülésre, azok észlelésára és értékelésére, a kár korlátozására, az okok megszüntetésére, a működés helyreállítására és a történtekből való tanulásra fókuszál. A digitális forenzika a bizonyítékok azonosítására, megőrzésére, rögzítésére, vizsgálatára, elemzésére és alátámasztható jelentésére fókuszál.
A diszciplínák együtt működnek: a forenzikai megállapítások megállapíthatják a kiterjedést, a sorrendet és a gyökérokot, miközben a reagálási prioritások határozzák meg, mely kérdések és rendszerek a legfontosabbak. Nem olvadnak egyetlen tevékenységgé. A sürgős reagálásnak izolálnia kellhet egy gépet, mielőtt a teljes rögzítés lehetséges lenne, miközben a jogi, szabályozási vagy fegyelmi ügy szigorúbb megőrzést, származást és dokumentálást igényelhet, mint a rutinműveletek.
Legfontosabb pontok
Bizonyíték-készültségMegbízható időt, megfelelő naplózást és megőrzést, rögzítési képességet, képzett személyzetet, dokumentált felhatalmazást és biztonságos bizonyítéktárolást kell fenntartani még az incidens bekövetkezése előtt.
Tipikus kérdésekMi történt, mikor, hogyan, mely identitások és eszközök érintettek, milyen bizonyíték támasztja alá a következtetést, és milyen kockázat marad?
Döntési fegyelemRögzíteni kell, ki gyűjtötte vagy kezelte a bizonyítékot, a módszereket és eszközverziókat, az integritásellenőrzéseket, az elemzési feltételezéseket, a reagálási műveleteket és a lényeges hiányosságokat.
Fontos korlátNem minden incidens igényel teljes forenzikai lemezképet, és a megőrzés nem mindig az egyetlen prioritás. A csapatoknak egyensúlyozniuk kell a bizonyítéki érték, a biztonság, a magánélet, a jogi kötelezettségek, a szolgáltatás rendelkezésre állása és a folyamatban lévő kár leállításának igénye között.