Готовимся к расследованию инцидентов

[teecat]

Гм. Расследование инцидентов подразумевает сохранение неизменной анализируемой среды. Измененную среду суд в доказательство не примет (пример — дело Врублевского). С формирования этой среды и надо начинать (точнее с формирования рабочей среды команды, но это уже за рамками статьи)

Первое, что делают большинство инженеров реагирования, — запускают проверку антивирусом.

Да, распространенная беда. Мало того, что тем самым убивают улики, так еще и среду меняют