# Откриване на пробиви и дигитални доказателства

> Нищо не седи тихо в мрежата ви.

Откриването на пробиви казва дали атакуващ вече е вътре, а дигиталните доказателства - докъде е стигнал.

**Key points**

- Проверка по хипотеза, а не поредната опашка от сигнали
- Пълно разследване с доказателства, когато нещо се е случило
- Писана хронология, която застрахователят, одиторът или регулаторът ще приеме

## Отиваме да търсим, вместо да чакаме да ни кажат

### Тихото присъствие

Повторени пароли, спящо задържане и инструменти от самата система. Не задейства правило, защото изглежда като администриране.

### Какво се е случило, по ред

След инцидент възстановяваме хода от диск, памет и логове: докъде е стигнато, какво е излязло и кога е започнало.

### Доказателства, които издържат

Находките се записват така, че да устоят пред одитор, застраховател или регулатор, а не в бележник на инженер.

## Докъде стига проверката

- **Крайни устройства** - Задържане в системата, спящи планирани задачи и инструменти, които изглеждат точно като администриране.
- **Идентичности** - Повторно ползвани пароли, невъзможни пътувания, токени, надживели сесията, за която са издадени.
- **Мрежа** - Обаждания навън през интервали, които никое правило не отбелязва, и трафик към място, което никой не е избирал.
- **Диск и памет** - След инцидент: какво е било на машината, какво е работило и какво е изнесено от нея.
- **Логове и телеметрия** - Възстановени в една последователност, включително частта преди някой да забележи.
- **Писаният разказ** - Хронология с приложени доказателства, във вида, който застраховател или регулатор приема.

## How it runs

1. **Поставяме хипотеза** - Тръгваме от това как атакуващ би стигнал до важното за вас, а не от сигналите на инструментите тази седмица.
2. **Търсим** - Проверяваме телеметрията срещу тази хипотеза през устройства, идентичности и мрежа. Всяка следа стига до заключение.
3. **Установяваме** - Всичко реално става документирана хронология с приложени доказателства и работата по ограничаване, която следва от нея.

## What you get

**Хронология, която някой друг ще приеме** - Не бележки на инженер. Докъде е стигнато, кога е започнало, какво е излязло и доказателството зад всяко твърдение, написани така, че застраховател, одитор или регулатор да действа по тях.

---

Canonical: https://centio.bg/uslugi/threat-hunting-forensics