Reakcia na incidenty sa zameriava na prípravu na incidenty, ich detekciu a posúdenie, obmedzenie škody, odstránenie príčin, obnovu operácií a učenie sa z toho, čo sa stalo. Digitálna forenzná analýza sa zameriava na identifikáciu, zachovanie, získanie, skúmanie, analýzu a reportovanie dôkazov obhájiteľným spôsobom.
Disciplíny spolupracujú: forenzné nálezy môžu ustanoviť rozsah, sekvenciu a koreňovú príčinu, zatiaľ čo priority reakcie určujú, ktoré otázky a systémy sú najdôležitejšie. Nezlievajú sa však do jednej aktivity. Urgentná reakcia môže potrebovať izolovať hostiteľa skôr, než je možné úplné získanie, zatiaľ čo právna, regulačná alebo disciplinárna záležitosť môže vyžadovať prísnejšie zachovanie, pôvod a dokumentáciu než bežné operácie.
Kľúčové body
Pripravenosť dôkazovPred vznikom incidentu udržiavať dôveryhodný čas, vhodné logovanie a uchovávanie, schopnosť získavania, vyškolený personál, dokumentovanú autoritu a bezpečné úložisko dôkazov.
Typické otázkyČo sa stalo, kedy, ako, ktoré identity a aktíva boli dotknuté, aké dôkazy podporujú záver a aké riziko zostáva?
Disciplína rozhodovaniaZaznamenať, kto dôkazy zbieral alebo spracúval, metódy a verzie nástrojov, kontroly integrity, analytické predpoklady, akcie reakcie a podstatné medzery.
Dôležité obmedzenieNie každý incident vyžaduje úplné forenzné snímkovanie a zachovanie nie je vždy jediná priorita. Tímy musia vyvažovať dôkaznú hodnotu s bezpečnosťou, súkromím, právnymi povinnosťami, dostupnosťou služieb a potrebou zastaviť prebiehajúcu škodu.