Рабочая станция начинает отправлять сигналы на незнакомый IP-адрес в 02:14. К утру машина перезагружена, кэш браузера очищен, а «отзывчивый» администратор уже запустил скрипт очистки. Оповещение всё ещё открыто. Всё, к чему прикасался злоумышленник, либо исчезло, либо испорчено теми, кто пытался помочь. Этот момент — когда инцидент превращается в расследование — и есть область цифровой криминалистики и реагирования на инциденты (DFIR), и она гораздо менее гламурна, чем предполагают скриншоты инструментов.
Две задачи, тянущие в противоположные стороны
Реагирование на инциденты требует скорости: локализовать, уничтожить, восстановить. Цифровая криминалистика требует сохранности: не трогать ничего, пока не зафиксировано. Напряжение между этими двумя подходами — вся дисциплина в миниатюре. Команды, слишком сильно налегающие на реагирование, уничтожают доказательства; команды, слишком сильно налегающие на криминалистику, держат скомпрометированный хост работающим часами, пока злоумышленник перемещается по сети.
Обычный компромисс — сначала зафиксировать, потом действовать — снять энергозависимое состояние (память, сетевые соединения, запущенные процессы) до выключения питания, потому что оперативная память исчезает при выключении, и удивительно много расследований зависит от того, что было в памяти, а не на диске.
Пошаговый разбор: один подозрительный хост, четыре часа
Представьте компанию среднего размера с одним ноутбуком, помеченным EDR. Вот примерно как действует специалист и что ломается, если порядок меняется. Подробнее — в статье Специалист по кибербезопасности.
Шаг 1 — Дамп памяти. Инструменты вроде WinPmem или Magnet RAM Capture снимают сырой образ. Если вместо этого команда сначала перезагружается в «чистое» состояние, внедрённый код, живущий только в памяти, исчезает. Анализ памяти с помощью Volatility (или Rekall) затем отвечает на вопросы, которые диск не может: какой процесс был скрыт, что было внедрено в lsass.exe, какие сетевые соединения были активны на момент снятия дампа.
Шаг 2 — Сбор для триажа. KAPE или Velociraptor извлекают важные артефакты — журналы событий, prefetch, Amcache, Shimcache, историю браузера, $MFT — без создания образа диска на 500 ГБ. Полный образ иногда юридически необходим; для быстрого ответа целевой сбор выигрывает по времени на часы.
Шаг 3 — Временная шкала. Plaso преобразует эти артефакты в единый хронологический поток, часто просматриваемый в Timesketch. Здесь собирается история: фишинговое вложение открыто в 01:58, дочерний процесс PowerShell в 02:03, исходящий C2 в 02:14. Без объединённой временной шкалы аналитики смотрят на пять инструментов и видят пять несвязанных фрагментов.
Шаг 4 — Подтверждение по сети. PCAP с сенсора или журналы Zeek/Suricata подтверждают, действительно ли сигнал покинул сеть. Артефакт хоста может лгать; захват пакетов — редко.
Шаг 5 — Удалённые данные. Если злоумышленник удалил промежуточные файлы, карвинг из нераспределённого пространства (photorec или инструменты, учитывающие файловую систему) может восстановить фрагменты. Успех здесь сильно зависит от того, сколько было записано на диск с тех пор — поэтому первое правило — прекратить запись на него.
Полный образ диска против целевого триажа
| Критерий | Полный образ диска | Целевой триаж |
|---|---|---|
| Время сбора | Часы на машину | Минуты |
| Затраты на хранение | Сотни ГБ на каждый | От десятков до сотен МБ |
| Лучше всего для | Судебных разбирательств, глубокого анализа вредоносного ПО | Поиска по всему парку, быстрой оценки масштаба |
| Что вы теряете | Ничего, в теории | Артефакты, которые вы не догадались взять |
Ни один из них не «правильный». Регулируемая утечка с предстоящим судебным разбирательством требует образа и документированной цепочки сохранности. Волна шифровальщика на 300 конечных точек требует триажа на всех них до обеда.
Статический и динамический триаж вредоносного ПО
Статический анализ — строки, заголовки PE, импорты, правила YARA — быстр и безопасен и говорит, что образец мог бы делать. Динамический анализ в изолированной песочнице говорит, что он делает: какие домены разрешает, какие ключи реестра трогает. Ловушка — доверять только статике: упакованные образцы почти ничего не показывают, пока не запустятся. Ловушка с другой стороны — запускать всё: некоторые образцы обнаруживают песочницы и остаются спящими или, что хуже, вырываются из плохо изолированной виртуальной машины.
Где самообучение заходит в тупик
Можно бесплатно узнать многое: документация Volatility, плакаты SANS, собственная документация Zeek, бесчисленные разборы. Проблема не в материале, а в обратной связи. Когда вы вырезаете удалённый файл и получаете мусор, никто не скажет, был ли неверным ваш offset или данные просто перезаписаны. Когда вы строите временную шкалу и она не имеет смысла, некому проверить ваши рассуждения.
Этот пробел закрывают структурированные курсы — Цифровая криминалистика и реагирование на инциденты (DFIR) проводит через полный цикл от криминалистики хоста и памяти через анализ временных шкал к сценариям реагирования, соответствующим NIST SP 800-61, с уроками, адаптированными к вашему текущему уровню. Альтернатива — лаборатория, которую вы строите сами, плюс наставник — тоже работает, но стоит больше времени и зависит от поиска этого наставника.
Кому это подходит, а кому нет
DFIR вознаграждает терпение и терпимость к неопределённости. Если вы любите чёткие ответы, эта область будет вас разочаровывать — половина каждого расследования — это «вероятно». Она подходит системным администраторам и аналитикам SOC, которые хотят понять, что происходит после оповещения, и не подходит тем, кто надеется на быстрый карьерный рост за счёт сертификатов без практической работы в лаборатории. Честная отправная точка — одна машина, один дамп памяти, одна временная шкала — и дисциплина фиксировать до того, как нажать кнопку.