PROBLEM
Jest dysk, obraz, telefon albo zestaw logów, a nikt nie zapisał skąd pochodzi materiał i czego nie wolno ruszać na oryginale.
PODEJŚCIE
Kontrolowany intake, kopia robocza, dziennik czynności z czasem oraz wnioski oznaczone jako fakt albo hipoteza.
ZAKRES
- przyjmowanie materiału i ustalenie pochodzenia
- kopia robocza i ochrona oryginału
- analiza artefaktów (dysk, logi, wybrane aplikacje)
- dokumentacja obserwacji i ograniczeń
REZULTAT
- dziennik czynności (kto, kiedy, co)
- lista artefaktów i ścieżek
- wnioski z jawnymi ograniczeniami
PROCES
- intake i ograniczenia prawne
- kopia / hashing uzgodniony z właścicielem
- analiza w labie
- raport
Analiza po incydencie pada na procedurze, nie na nazwie narzędzia. Bez zapisu „kiedy, skąd, kto przekazał” dalsza praca jest dekoracją — nawet jeśli skaner coś „znajdzie”.
Przyjmuję materiał (obraz dysku, logi, eksport konta, uzgodniony zrzut), robię kopię roboczą tam, gdzie to uzgodnimy, i prowadzę dziennik czynności. Wnioski oddzielam od domysłów: co widać w artefakcie, czego nie da się stwierdzić, co wymaga dodatkowego źródła.
Usługa ma sens, gdy potrzebujesz uporządkowanej analizy przed decyzją biznesową, eskalacją albo dalszą współpracą z pełnomocnikiem — nie gdy szukasz serialu kryminalnego.
Poza zakresem, dopóki nie ustalimy inaczej: zeznania biegłego sądowego, praca na jedynej kopii dowodu, obietnica odzyskania wszystkiego.