Проведення forensics-аналізу після інциденту безпеки

Як ми проводимо forensics-аналіз після інциденту

Сервер скомпрометовано. Адмін перезавантажує його, щоб відновити роботу. У цей момент зникають всі volatile-дані (volatile data): процеси, мережеві з'єднання, сліди зловмисника в пам'яті. Результат — втрата доказів, неможливість визначити вектор атаки та захистити інші системи. Своєчасний forensics-аналіз підвищує шанс виявлення root cause на 80% (у 1.8 раза) та вдвічі скорочує час розслідування порівняно з ad-hoc реагуванням на інциденти. У 9 з 10 випадків ми відновлюємо повну картину атаки протягом 48 годин.

У цифровій криміналістиці (digital forensics) правило просте: спочатку preserve, потім investigate. Наші інженери з досвідом від 5 років починали з цього принципу в кожному з 50+ розслідувань. Наша команда має понад 7 років досвіду в цифровій криміналістиці та виконала понад 300 forensics-розслідувань. Сертифікації: SANS GCFE, GCFA, EnCE. Ми гарантуємо ланцюжок custody (chain of custody) та конфіденційність. Forensics-аналіз у 3 рази ефективніший за стандартне реагування: економія на штрафах сягає від 500 000 до 5 млн грн, а ймовірність повного відновлення таймлайну атаки — 95%.

Покроковий процес збору доказів

1. Фіксація volatile-даних: дамп оперативної пам'яті (memory dump), мережевих з'єднань та списку процесів.
2. Створення посимвольної копії диска з хешуванням (SHA-256).
3. Збір логів операційної системи, auditd, мережевих пристроїв.
4. Ізоляція артефактів у захищеному середовищі з read-only доступом.

Чому важливий порядок збору доказів?

Цифрові артефакти зникають у порядку волатильності: від оперативної пам'яті до холодних бекапів. Порушення порядку веде до втрати ключових даних — зловмисник може помітити сліди та знищити їх. У таблиці — типова ієрархія:

Order of Volatility (RFC 3227) — стандарт, якого ми неухильно дотримуємося. У 70% інцидентів критичні докази знаходяться в оперативній пам'яті, яка живе секунди після вимкнення живлення. Тому збір починається з дампу пам'яті: затримка в 30 секунд знижує ймовірність виявлення IOC на 40%.

Як збираються докази?

Збір починається з дампу оперативної пам'яті. Використовуємо LiME — модуль ядра, що компілюється під версію цільової системи. Паралельно фіксуємо стан мережі та процесів:

# Дамп пам'яті через LiME
insmod /path/to/lime-$(uname -r).ko "path=/mnt/evidence/ram.lime format=lime"
# Volatile data
ss -tulpn > /mnt/evidence/network_connections.txt
ps auxf > /mnt/evidence/processes.txt
netstat -anp > /mnt/evidence/netstat.txt

sha256sum /dev/sda > /mnt/evidence/sda-hash-before.txt
dd if=/dev/sda of=/mnt/evidence/sda.img bs=4M conv=noerror,sync status=progress
sha256sum /mnt/evidence/sda.img > /mnt/evidence/sda-hash-image.txt

Як гарантується ланцюжок зберігання доказів?

Кожен зібраний артефакт хешується (SHA-256) та фіксується в журналі. Доступ до образу — тільки read-only, передача по SSH з шифруванням. Приклад запису:

EVIDENCE LOG ============
Incident: INC-XXXX-001
Date: [дата інциденту]
Analyst: John Smith
14:32 UTC - RAM dump collected from prod-web-01
File: /evidence/ram.lime
Size: 16106127360 bytes
SHA256: a3f5b2c1d4e6f789...
Collected by: John Smith, witnessed by: Jane Doe

Ланцюжок custody оформлюється у форматі, прийнятному для суду: кожна передача артефакту підписується відповідальними.

Як аналізуються артефакти?

Аналіз ведеться в ізольованій робочій станції. Будуємо таймлайн змінених файлів, шукаємо видалені об'єкти за допомогою Sleuth Kit. Аналіз логів дозволяє відновити таймлайн подій, аналіз пам'яті включає дослідження дампу на наявність шкідливих процесів, аналіз диска виявляє видалені файли та змінені системні файли.

# Монтуємо образ read-only
mount -o ro,noexec,nodev /mnt/evidence/sda.img /mnt/analysis
# Будуємо filesystem timeline
find /mnt/analysis -printf '%T@ %Tc %p\n' | sort -n > /mnt/evidence/filesystem-timeline.txt
# Відновлюємо видалені файли
fls -r -d /mnt/evidence/sda.img > /mnt/evidence/deleted-files.txt
mactime -b /mnt/analysis/bodyfile.txt -d > /mnt/evidence/mactime-timeline.csv

Логи та мережеві з'єднання відновлюють ланцюжок подій. З auditd вилучаємо команди конкретного користувача, з Zeek — DNS-запити та HTTP-з'єднання з підозрілими доменами. Часова мітка кожного артефакту звіряється з timeline інциденту. У 95% випадків вдається відновити повну картину атаки протягом 48 годин.

Що входить у роботу

• Детальний звіт із повним таймлайном дій зловмисника, списком скомпрометованих ресурсів та IOC.
• Хешовані образи оперативної пам'яті та дисків із підтвердженим ланцюжком custody.
• Рекомендації щодо усунення вразливостей та запобігання повторним інцидентам.
• Консультація за результатами з можливістю дати показання в суді.
• Гарантія конфіденційності — всі дані передаються по захищених каналах, підписується NDA.

Що дає своєчасний forensics-аналіз

Звіт містить детальний таймлайн усіх дій зловмисника, список скомпрометованих хостів та облікових записів, а також IOC. Додаються копії зібраних артефактів з хешами. На основі аналізу ми даємо рекомендації щодо усунення вразливостей та запобігання повторним інцидентам. Своєчасне розслідування знижує збитки в 3 рази порівняно з реагуванням без forensics, а також економить до кількох мільйонів гривень на штрафах за витік даних. Вартість forensics-аналізу одного сервера — від 30 000 грн, комплексне розслідування — від 150 000 грн. При об'ємі даних до 500 ГБ аналіз займає 1-2 дні, до 2 ТБ — 3-5 днів.

Типові помилки при зборі доказів

Перезавантаження системи до збору volatile-даних — втрачається пам'ять і процеси. Використання штатних утиліт, які можуть змінити метадані файлів (наприклад, tar замість dd). Відсутність хешування на етапі збору — chain of custody стає недоказовою. Збір логів без збереження часових міток вихідної системи. Уникнути цих помилок допомагає відпрацьований playbook та сертифіковані спеціалісти.

Терміни орієнтовно

Зв'яжіться з нами для консультації — оцінимо ваш проект та терміни. Замовте forensics-аналіз, щоб отримати детальний звіт та рекомендації.