PROBLEM
Jest alert, przejęte konto albo dziwne zachowanie hosta, a brakuje właściciela decyzji, osi czasu i jasnego: izolować, obserwować, eskalować.
PODEJŚCIE
Krótki intake, fakty z logów i systemu, zabezpieczenie materiału oraz propozycja następnego kroku wraz z tym, czego jeszcze nie wiemy.
ZAKRES
- intake zdarzenia i ustalenie roli decyzyjnej
- triage (konta, host, sieć, czas)
- zachowanie materiału (logi, zrzuty, notatki)
- notatka eskalacyjna i plan ograniczenia szkód
REZULTAT
- oś czasu (na ile pozwalają dane)
- decyzje z uzasadnieniem
- lista braków i rekomendowany następny krok
PROCES
- zgłoszenie i ograniczenia prawne / dostępu
- izolacja uzgodniona z właścicielem
- zbieranie faktów
- notatka i przekazanie dalej (gdy trzeba)
Po oszustwie, przejęciu konta albo podejrzanym zachowaniu systemu liczy się kolejność, nie panika. Najpierw: co się stało, które konto lub urządzenie jest w grze, od kiedy, kto może zatwierdzić izolację i co trzeba zachować, zanim ktoś „wyczyści dla spokoju”.
Robię triage: konta i sesje, host, widoczność w logach, szybkie ograniczenie szkód (hasła, MFA, odcięcie dostępu) oraz notatkę z faktami, hipotezami i lukami. Jeśli materiał ma iść dalej — do forensics, ubezpieczyciela albo organów — przygotowuję go tak, żeby nie zniszczyć ścieżki.
To usługa dla firm i osób prywatnych, które potrzebują legalnej, uporządkowanej pomocy zamiast chaosu w czacie z supportem. Współpraca startuje od opisu zdarzenia i dostępów — odpowiadam z kolejnym krokiem i zakresem.
To nie jest obietnica całodobowego SOC, automatycznego przyjazdu on-site ani „usuwamy atakującego w 15 minut”.