На этом шаге собирается исходная информация о событии, классифицируются признаки инцидента и оценивается критичность ситуации. Формируется команда реагирования с участием экспертов форензики, анализа угроз, инженеров по ИБ и других профильных специалистов. Отправляются первоочередные меры по сдерживанию угрозы.

Проводится детальный разбор всех доступных артефактов:

• анализ образцов вредоносного кода;
• исследование логов систем безопасности и операционных систем;
• анализ сетевого трафика и метаданных;
• сопоставление с известными техниками злоумышленников (атрибуция).

Команда УЦСБ SOC вырабатывает и внедряет меры по ограничению распространения угрозы в инфраструктуре, блокирует каналы связи злоумышленников и минимизирует возможные риски дальнейшего ущерба.

На основании полученных данных проводится очистка систем: удаляются вредоносные компоненты, восстанавливаются рабочие процессы, обновляются скомпрометированные учетные данные и внедряются меры по восстановлению нормальной работы ИТ-окружения.

Формируется детальный отчёт, включающий:

• хронологию событий и технические подробности инцидента;
• список выявленных уязвимостей и скомпрометированных ресурсов;
• оценку влияния инцидента на бизнес;
• выводы о причинах и вероятном источнике атаки;
• рекомендации по устранению последствий и предотвращению повторений.

Услуга включает круглосуточный мониторинг, регулярное консультирование, проверку «белых» IP-адресов, внесение конфигураций в личный кабинет и помощь с выпуском/обновлением сертификатов TLS. Эксперты также готовят рекомендации по текущим атакам, включая сведения о методах злоумышленников и атрибуцию угроз.

Услуга включает круглосуточный мониторинг, регулярное консультирование, проверку «белых» IP-адресов, внесение конфигураций в личный кабинет и помощь с выпуском/обновлением сертификатов TLS.