Cyberatak często stawia przedsiębiorstwa w bardzo krótkim czasie przed daleko idącymi problemami technicznymi, organizacyjnymi i prawnymi. Oprócz opanowania incydentu i przywrócenia działalności biznesowej należy ustalić, co faktycznie się wydarzyło, które systemy zostały dotknięte, jak daleko potencjalny atakujący wniknął w infrastrukturę oraz czy dane zostały przeglądane, zmienione, usunięte lub przekazane.
Cyberatak w firmie – co tak naprawdę się wydarzyło?
Po wystąpieniu incydentu bezpieczeństwa pojedyncze komunikaty ostrzegawcze generowane przez system bezpieczeństwa często nie wystarczają do oceny rzeczywistego zakresu ataku. Zhakowane konto użytkownika, podejrzane połączenie sieciowe lub złośliwe oprogramowanie na pojedynczym systemie mogą stanowić jedynie część znacznie większego incydentu.
W związku z tym badanie informatyczne o charakterze kryminalistycznym opiera się na podejściu kompleksowym. W zależności od dostępnych dowodów można zbadać między innymi następujące kwestie:
- Kiedy można wykryć pierwsze oznaki włamania?
- W jaki sposób mógł nastąpić pierwszy dostęp do infrastruktury?
- Jakie systemy i konta użytkowników zostały dotknięte tym problemem?
- Czy korzystano z kont administracyjnych lub kont z uprawnieniami specjalnymi?
- Czy atakujący poruszał się dalej w obrębie infrastruktury?
- Czy wprowadzono dodatkowe mechanizmy dostępu lub mechanizmy zapewniające trwałość?
- Jakie pliki i zbiory danych zostały wywołane?
- Czy istnieją techniczne przesłanki wskazujące na przekazanie lub wyciek danych?
- Czy dane zostały zmienione, zaszyfrowane lub usunięte?
- Jakie mechanizmy zabezpieczające mogły zostać obejście lub zmanipulowane?
- Jakie systemy zewnętrzne lub adresy IP brały udział w komunikacji?
- Jakie wskaźniki naruszenia bezpieczeństwa można zidentyfikować?
- Czy technicznie możliwe jest odtworzenie pierwotnej drogi, którą osoba ta weszła do budynku?
- Jakie skutki tego zdarzenia można udowodnić na podstawie dostępnych śladów?
Rzetelne badanie kryminalistyczne musi również wskazać, na które pytania nie można udzielić jednoznacznej odpowiedzi na podstawie dostępnych danych. Nie każda nieprawidłowość techniczna stanowi dowód. Dlatego rozróżniamy między ustalonymi faktami, poszlakami technicznymi, wnioskami, jakie można z nich wyciągnąć, a okolicznościami, których nie da się ostatecznie ocenić na podstawie dostępnych danych.
Dlaczego wczesne przeprowadzenie badań kryminalistycznych jest ważne
Ślady cyfrowe są częściowo ulotne. Pliki dziennika są nadpisywane, systemy chmurowe i zabezpieczające mają ograniczony czas przechowywania danych, pamięć robocza ulega ciągłym zmianom, a w wyniku interwencji administracyjnych istotne artefakty mogą zostać zmienione lub zniszczone.
Po ujawnieniu cyberataku często dochodzi zatem do konfliktu między trzema celami: Ograniczyć atak – zapewnić ciągłość działalności – zachować ślady cyfrowe.
Badanie kryminalistyczne nie może w nieuzasadniony sposób opóźniać podjęcia niezbędnych działań mających na celu powstrzymanie trwającego ataku. Jednocześnie, w miarę możliwości, należy zabezpieczyć odpowiednie systemy i źródła danych przed przeprowadzeniem nowych instalacji, czyszczenia lub innych daleko idących zmian.
LanCologne może już na wczesnym etapie pomóc w identyfikacji źródeł danych istotnych z punktu widzenia kryminalistyki oraz w ustaleniu priorytetów dalszych działań śledczych. Jak to Koordynowanie działań w zakresie zabezpieczania dowodów i ograniczania rozprzestrzeniania się, to jedno z pierwszych praktycznych pytań, jakie się nasuwa.
Wstępna ocena kryminalistyczna incydentu bezpieczeństwa
Na początku należy zebrać dotychczas znane fakty. Obejmują one na przykład czas i sposób wykrycia, już stwierdzone nieprawidłowości, systemy, których to dotyczy, istniejące zgłoszenia dotyczące bezpieczeństwa, znane konta użytkowników, podjęte działania zaradcze oraz istniejącą infrastrukturę informatyczną.
Następnie wspólnie z zleceniodawcą określa się konkretne cele badania. W przypadku rozległych incydentów takie podejście pozwala na ustalenie priorytetów wśród szczególnie istotnych systemów i źródeł danych.
Jakie systemy i źródła danych są przedmiotem analizy?
W zależności od infrastruktury i rodzaju incydentu mogą to być na przykład systemy Windows, Linux i macOS, Server i komputery stacjonarne, Active Directory i infrastruktury tożsamości, systemy wirtualne, zapory sieciowe, systemy VPN, komponenty sieciowe, Microsoft 365, Azure, inne usługi w chmurze, systemy poczty elektronicznej, dane EDR, XDR i SIEM, logi bezpieczeństwa i systemowe, dane sieciowe i dotyczące połączeń, nośniki danych, zewnętrzne nośniki pamięci, pamięć operacyjna oraz systemy tworzenia kopii zapasowych.
Decydujące znaczenie ma nie liczba zbadanych systemów, lecz ich znaczenie kryminalistyczne dla odtworzenia przebiegu zdarzenia.
W zależności od platformy, której to dotyczy, korzystamy z wiedzy z odpowiedniej dziedziny – na przykład z badania kryminalistyczne systemów Windows, analiza Linux-Servern, Analiza kryminalistyczna systemu macOS lub analiza urządzeń mobilnych.
Cyfrowe zabezpieczanie i gromadzenie dowodów
O ile wymaga tego dana sytuacja i jest to technicznie możliwe, odpowiednie dane są zabezpieczane w sposób zgodny z zasadami kryminalistyki. W ramach tego procesu można udokumentować wartości integralności oraz oddzielić dane oryginalne od kopii roboczych wykorzystywanych w ramach dochodzenia.
W przypadku badań mających znaczenie dowodowe można dodatkowo prowadzić udokumentowany łańcuch dowodowy. Celem jest przejrzyste udokumentowanie pochodzenia i integralności odpowiednich danych badawczych.
Jedną z praktycznych kwestii związanych z bieżącą eksploatacją jest to, jakie dane dziennika należy przechowywać jako dowody – i jak to z usunięte lub sfałszowane pliki dziennika jak się z tym radzić.
Analiza naruszenia bezpieczeństwa
Zabezpieczone dane są sprawdzane pod kątem oznak ewentualnego naruszenia bezpieczeństwa. Mogą one obejmować:
- podejrzane procesy i programy
- niezwykłe logowania użytkowników i nowo utworzone konta
- Zmiany uprawnień
- Dostęp zdalny oraz operacje w PowerShellu lub w wierszu poleceń
- zaplanowane zadania, usługi i mechanizmy automatycznego uruchamiania
- Połączenia sieciowe i złośliwe oprogramowanie
- zmienione pliki systemowe i inne istotne artefakty
Jednym z kluczowych pytań w tym kontekście jest:, które systemy faktycznie zostały naruszone – oraz te, co do których można jedynie przypuszczać, że są dotknięte tym problemem.
Rekonstrukcja przebiegu ataku – chronologia zdarzeń
Jednym z głównych zadań szeroko zakrojonych badań kryminalistycznych w dziedzinie IT jest rekonstrukcja przebiegu zdarzenia w czasie. Zdarzenia z różnych systemów i źródeł danych są ze sobą korelowane.
W ten sposób można stopniowo uzyskać pełny obraz sytuacji: Kiedy rozpoczął się atak? Który system został zaatakowany jako pierwszy? Z jakich kont korzystano następnie? Do jakich systemów uzyskano dostęp później? Kiedy dane zostały wywołane, zmienione lub zaszyfrowane?
Jak taka Chronologia ataku w przypadku incydentu cybernetycznego Kwestię tego, jak powstaje i gdzie leżą jej granice, omówimy osobno. Jeśli w procesie bierze udział kilku usługodawców, pojawia się dodatkowo pytanie o wspólnej osi czasu.
Wstępny dostęp i analiza przyczyn źródłowych
O ile pozwalają na to dostępne ślady, bada się, w jaki sposób mogło dojść do pierwotnego uzyskania dostępu do infrastruktury. Możliwymi przyczynami mogą być: przejęte dane dostępowe, narażone usługi, luki w zabezpieczeniach, sfałszowane wiadomości e-mail, zdalny dostęp lub inne techniczne sposoby ataku.
Przyczyny nie uznaje się za ustaloną tylko dlatego, że wydaje się ona technicznie prawdopodobna. Decydujące znaczenie ma to, jaki wniosek znajduje potwierdzenie w faktycznie istniejących śladach.
Więcej informacji: Analiza przyczyn źródłowych cyberataku, Określenie ścieżki dostępu metodami kryminalistycznymi oraz Sprawdzenie techniczne podejrzenia o phishing.
Ruch boczny, rozszerzenie uprawnień i trwałość
W przypadku bardziej złożonych ataków osoba atakująca często nie ogranicza się do systemu, który został pierwotnie przejęty. Dlatego można zbadać, czy doszło do próby połączenia się z innymi systemami, wykorzystania danych dostępowych, przejęcia kont z uprawnieniami lub użycia narzędzi administracyjnych. Dzięki temu często można znacznie dokładniej określić rzeczywisty zakres incydentu.
Ruch boczny
Sprawdza się, czy i w jaki sposób atak dotarł do innych systemów w ramach infrastruktury. Szczegółowo: odtworzyć przepływ informacji w przedsiębiorstwie.
Konta uprzywilejowane
Wykorzystanie kont administracyjnych znacząco zmienia zasięg incydentu. Więcej informacji: Włamanie do kont administratorów oraz skradzione dane dostępowe.
Trwałość
Zaplanowane zadania, usługi, mechanizmy automatycznego uruchamiania oraz dodatkowe skonfigurowane konta mogą umożliwić atakującemu stały dostęp. Więcej informacji: Wykazać mechanizmy trwałości.
Dostęp do danych i potencjalny wyciek danych
Jednym z najważniejszych pytań pojawiających się po cyberataku jest często to, czy doszło do kradzieży danych firmy. Należy przy tym wyraźnie rozróżnić:
- Dane były dostępny
- Dane zostały wywołano
- Dane zostały zebrane lub przygotowane do ewentualnego przeniesienia
- istnieją wskazówki techniczne w związku z przekazaniem
- przesłanie może zrozumiane pod względem technicznym zostać
LanCologne dokumentuje, które z tych twierdzeń znajdują potwierdzenie w dostępnych dowodach. Jeśli nie da się udowodnić faktycznego przesyłu danych, nie konstruuje się domniemanego, udowodnionego wycieku danych na podstawie teoretycznie możliwego dostępu.
Więcej informacji: Sprawdzić, czy istnieją oznaki wycieku danych, Ograniczenie zakresu danych, które mogły zostać wycieknąć oraz Przetwarzanie danych osobowych.
Zlecenie przeprowadzenia analizy kryminalistycznej incydentu cybernetycznego
Czy chodzi o bieżący, czy o przeszły incydent cyberbezpieczeństwa? Porozmawiaj z nami o infrastrukturze, której to dotyczy, oraz o kwestiach wymagających wyjaśnienia.
Kryminalistyka informatyczna po ataku oprogramowania ransomware
Atak ransomware niekoniecznie zaczyna się od widocznego szyfrowania danych. Od momentu uzyskania dostępu do momentu szyfrowania mogą upłynąć godziny, dni, a w niektórych przypadkach nawet dłuższe okresy.
W tej fazie mogło dojść do zebrania danych dostępowych, przejęcia kontroli nad dodatkowymi systemami, rozszerzenia uprawnień, zmiany mechanizmów bezpieczeństwa lub przeanalizowania zbiorów danych. Widoczne szyfrowanie może zatem stanowić jedynie końcową fazę znacznie bardziej rozległego ataku.
Badanie kryminalistyczne dotyczące oprogramowania ransomware może zatem obejmować między innymi:
- pierwotna droga ataku i konta użytkowników, których to dotyczy
- dostępy uprzywilejowane i ruchy boczne
- Mechanizmy trwałości
- Manipulowanie rozwiązaniami zabezpieczającymi
- Dostęp do Server i zbiorów danych
- Oznaki wycieku danych
- Przebieg czasowy aż do momentu szyfrowania
Celem jest odtworzenie przebiegu zdarzenia w zakresie, w jakim jest to technicznie możliwe, od pierwszego wykrywalnego zdarzenia aż po widoczne skutki.
Więcej informacji: Okres między pierwszym włamaniem a zaszyfrowaniem, Określenie zakresu szyfrowania oraz Oprogramowanie ransomware w systemach Linux.
Microsoft 365, chmura i infrastruktury tożsamości
Microsoft 365, Azure, inne usługi w chmurze, a także Active Directory i inne infrastruktury tożsamości należą do źródeł danych, które można zabezpieczyć i przeanalizować w ramach dochodzenia. To, jakie wnioski można wyciągnąć, zależy od tego, jakie dane audytowe i dane logowania są dostępne oraz jak długo były przechowywane.
Więcej informacji: Zbadanie przypadku naruszenia bezpieczeństwa usługi Microsoft 365, aktywne sesje w chmurze po ataku, Kradzież tokenów sesji oraz Resetowanie naruszonych danych dostępowych i tokenów.
Badania kryminalistyczne na potrzeby ubezpieczeń od cyberzagrożeń
Po wystąpieniu incydentu cyberbezpieczeństwa przyczyna, zakres i skutki zdarzenia mogą mieć znaczenie również dla likwidacji szkody w ramach ubezpieczenia od cyberzagrożeń. LanCologne wspiera przedsiębiorstwa oraz – w zależności od zakresu zlecenia – ubezpieczycieli lub wyznaczone przez nich podmioty w przeprowadzaniu analizy technicznej.
W szczególności można udokumentować przyczynę i przebieg zdarzenia w czasie, systemy informatyczne, których dotyczyło zdarzenie, zakres wykrywalnego naruszenia bezpieczeństwa, oznaki nieuprawnionego dostępu, dostęp do danych i ewentualny wyciek danych, manipulacji lub szyfrowania danych, techniczne skutki dla działalności operacyjnej, a także przeprowadzone działania dochodzeniowe i zabezpieczające.
Konkretny zakres badania można uzgodnić z zainteresowanymi stronami i podzielić na jasno określone etapy projektu. Nie wydajemy opinii dotyczących zakresu ubezpieczenia, roszczeń odszkodowawczych ani odpowiedzialności prawnej.
Więcej informacji: Informatyka śledcza dla ubezpieczycieli oraz Sprawdź, czy nie doszło do wycieku danych przed szyfrowaniem.
Kryminalistyka informatyczna w kontekście NIS2 i BSIG
W przypadku obiektów o szczególnym znaczeniu oraz obiektów ważnych § 32 BSIG przewiduje stopniowe obowiązki zgłaszania w razie poważnych incydentów związanych z bezpieczeństwem – począwszy od wstępnego zgłoszenia w ciągu 24 godzin od uzyskania informacji, następnie kolejnego zgłoszenia w ciągu 72 godzin, a na końcu zgłoszenia końcowego.
To, czy w konkretnym przypadku przedsiębiorstwo podlega obowiązkowi zgłoszenia oraz jakie terminy konkretnie obowiązują, wymaga oceny prawnej. Nie zajmujemy się tym. Naszym zadaniem jest badanie techniczne.
Analiza informatyczna może dostarczyć informacji dotyczących czasu i przebiegu incydentu, systemów, których dotyczył, skutków technicznych, wskaźników naruszenia bezpieczeństwa, możliwej przyczyny oraz zakresu naruszenia – czyli technicznych faktów, na których musi opierać się zgłoszenie.
Aktualność informacji regulacyjnych: sierpień 2026 r. Niniejszy fragment nie zastępuje porady prawnej.
Systematyczne badanie złożonych incydentów cyberbezpieczeństwa
Nie każde zdarzenie cyberbezpieczeństwa wymaga takiego samego zakresu dochodzenia. Pojedyncze zainfekowane stanowisko pracy znacznie różni się od zdarzenia, w którym może być dotkniętych kilka lokalizacji, Server, Active Directory, usługi w chmurze oraz setki urządzeń końcowych.
Dlatego też szeroko zakrojone badania dzieli się na możliwe do zdefiniowania etapy projektu. Po wstępnej ocenie technicznej można określić cele badań, priorytety, istotne systemy oraz niezbędne zasoby.
Dzięki temu nawet w przypadku złożonych zdarzeń można łatwo prześledzić, jakie kwestie są badane, jakie systemy są do tego niezbędne, jakie ustalenia już uzyskano oraz jakie dalsze kroki w ramach dochodzenia są uzasadnione z merytorycznego punktu widzenia.
Wyniki dla kadry kierowniczej i decydentów
Incydent cybernetyczny nie musi być rozumiany wyłącznie w kategoriach technicznych. Kierownictwo, dział prawny, ubezpieczyciele i inni decydenci często potrzebują innego sposobu przedstawienia sytuacji niż bezpośrednio zaangażowani specjaliści IT.
Dlatego w przypadku szeroko zakrojonych badań szczegółowa dokumentacja techniczna może zostać uzupełniona o streszczenie dla kierownictwa. Zawiera ono przystępne podsumowanie najważniejszych ustaleń oraz rozróżnia potwierdzone fakty, przesłanki techniczne, wnioski wynikające z nich oraz pozostałe niepewności.
Więcej informacji: raport końcowy o solidnej podstawie technicznej przeznaczony dla kierownictwa oraz Dokumentacja decyzji kierownictwa.
Co przedsiębiorstwa mogą uzyskać po przeprowadzeniu badania
Raport z badania kryminalistycznego
Dokumentacja zlecenia badania, podstawy danych, sposobu postępowania, istotnych wyników oraz wniosków technicznych.
Kalendarium zdarzeń
Chronologiczny opis zdarzeń mających znaczenie dla danego incydentu bezpieczeństwa.
Podsumowanie dla kierownictwa
Podsumowanie najważniejszych wyników dla kierownictwa i osób podejmujących decyzje.
Przegląd systemów i kont, których dotyczy problem
Przedstawienie elementów, które zostały zidentyfikowane w ramach badania lub które prawdopodobnie są nim objęte.
Wskaźniki naruszenia bezpieczeństwa
Dokumentacja istotnych technicznych wskaźników naruszenia bezpieczeństwa, o ile są dostępne.
Analiza przyczyn
Ocena technicznie możliwej drogi przedostania się oraz przyczyny leżącej u jej podstaw, o ile jest to możliwe na podstawie dostępnych śladów.
Ocena potencjalnych przypadków uzyskania dostępu do danych i ich wycieku
Zróżnicowane przedstawienie tego, co faktycznie udało się ustalić na podstawie dostępnych danych.
Dokumentacja zabezpieczenia dowodów
O ile jest to częścią zlecenia: dokumentacja kopii zapasowych danych, wartości integralności oraz łańcucha dowodowego.
Instalacje techniczne
Odpowiednie materiały, tabele, fragmenty logów, zrzuty ekranu i inne dowody techniczne.
Dlaczego warto wybrać LanCologne do przeprowadzenia analizy informatyczno-kryminalistycznej?
Analiza kryminalistyczna zamiast zwykłego usuwania usterek
Nie skupiamy się wyłącznie na przywróceniu działania systemu, który uległ awarii. Analizujemy ślady cyfrowe, aby w sposób zrozumiały odtworzyć rzeczywisty przebieg zdarzenia.
Własne laboratorium kryminalistyczne
Zabezpieczanie dowodów i badania mogą być przeprowadzane w ramach naszej własnej infrastruktury kryminalistycznej.
Różne źródła danych – całościowy obraz
Incydent bezpieczeństwa często nie da się wyjaśnić na podstawie jednego pliku dziennika. Dlatego dane pochodzące z urządzeń końcowych, Servern, systemów tożsamości, komponentów sieciowych, usług w chmurze i rozwiązań zabezpieczających można ze sobą skorelować.
Wyniki pracy z narzędziami są poddawane krytycznej ocenie
Narzędzia kryminalistyczne i zabezpieczające wspomagają dochodzenie, nie zastępują jednak fachowej oceny. Istotne ustalenia są w miarę możliwości weryfikowane na podstawie dodatkowych dowodów i źródeł danych.
Przejrzyste granice wypowiedzi
To, że dane działanie jest technicznie możliwe, nie oznacza jeszcze, że faktycznie miało miejsce. Dlatego dokumentujemy nie tylko ustalenia, ale także ich wartość dowodową i ograniczenia techniczne.
Informacje dotyczące kwalifikacji: Ekspert ds. informatyki śledczej z certyfikatem TÜV w Kolonii.
Wykryto cyberatak – co teraz?
W przypadku trwającego lub niedawno wykrytego incydentu cyberbezpieczeństwa należy w sposób skoordynowany podjąć działania mające na celu ograniczenie skutków, przywrócenie normalnego funkcjonowania oraz zabezpieczenie dowodów.
O ile pozwala na to konkretna sytuacja zagrożenia, nie należy bez potrzeby wprowadzać zmian w potencjalnie istotnych systemach i danych. W szczególności nieskoordynowane nowe instalacje, czyszczenie systemów, usuwanie kont użytkowników lub danych dziennika, a także daleko idące zmiany w systemach, których dotyczy sytuacja, mogą utrudnić późniejszą rekonstrukcję zdarzeń.
Jednocześnie powstrzymanie aktywnego ataku ma wysokie znaczenie. Dlatego należy najpierw wyjaśnić:
- które systemy są objęte zmianami
- jakie działania należy podjąć w trybie pilnym
- jakie źródła danych należy uzyskać w krótkim czasie
- które systemy mają największą wartość informacyjną z punktu widzenia kryminalistyki
- jakie działania zostały już podjęte
Więcej informacji: Izolowanie systemów po cyberataku oraz Oczyszczanie lub odbudowa zainfekowanego systemu.
Kryminalistyka informatyczna po cyberatakach – z Kolonii, działająca na terenie całych Niemiec
W przypadku nagłego incydentu cyberbezpieczeństwa jesteśmy dostępni 24 godziny na dobę, 7 dni w tygodniu – 365 dni w roku, przez całą dobę: +49 (0)221 64306610. Standardowe godziny pracy to od poniedziałku do piątku w godz. 08:00–18:00.
Siedziba firmy LanCologne znajduje się przy ulicy Horbeller Straße 31 w Kolonii (50858). Od 2015 roku prowadzimy badania na terenie całych Niemiec.
Dla firm z aglomeracji Kolonii lokalizacja ta oznacza krótkie odległości: nośniki danych można przekazać osobiście, a w razie potrzeby można wykonać kopię zapasową systemów na miejscu – na przykład wtedy, gdy transport nie jest możliwy ze względów operacyjnych lub nie ma sensu z punktu widzenia kryminalistyki.
Podstawą merytoryczną jest certyfikat z zakresu kryminalistyki urządzeń mobilnych i systemu Windows, zweryfikowany przez TÜV Rheinland, dostępny publicznie w bazie certyfikatów Certipedia pod numerem certyfikatu 0000067863.
Najczęściej zadawane pytania
Ile kosztuje ekspertyza informatyczno-kryminalistyczna po cyberataku?
W przypadku złożonych incydentów cyberbezpieczeństwa nie da się rzetelnie podać stałej ceny. Nakład pracy zależy między innymi od liczby i rodzaju systemów, których dotyczy incydent, objętości danych, infrastruktury, okresu objętego badaniem, dostępnych logów oraz konkretnego zakresu zadania. Po wstępnej ocenie technicznej można określić zakres badania, a w przypadku większych incydentów podzielić go na poszczególne etapy projektu.
Jak szybko należy rozpocząć dochodzenie po cyberincydencie?
Zasadniczo należy to zrobić jak najwcześniej, ponieważ niektóre ślady cyfrowe są nietrwałe lub mogą ulec zmianie lub zostać nadpisane w trakcie bieżącej eksploatacji. Jednocześnie należy uwzględnić niezbędne środki mające na celu powstrzymanie trwającego ataku.
Czy można ustalić, w jaki sposób osoba atakująca dostała się do firmy?
W wielu przypadkach można odtworzyć potencjalną drogę przedostania się na podstawie różnych śladów. To, czy możliwe jest jednoznaczne ustalenie, zależy jednak od dostępnych danych oraz zmian, które zaszły w międzyczasie.
Czy można ustalić, czy doszło do kradzieży danych firmy?
Zależy to od dostępnych dowodów. W niektórych przypadkach można odtworzyć konkretne operacje przesyłania danych. W innych przypadkach można jedynie stwierdzić, że określone dane były dostępne lub zostały wywołane. W naszej ocenie te okoliczności są wyraźnie rozróżnione.
Czy można odtworzyć przebieg ataku ransomware?
O ile pozwalają na to dostępne ślady, to tak. Można zbadać między innymi początkową ścieżkę ataku, konta użytkowników, których dotyczy atak, dostępy z uprawnieniami, ruchy boczne, mechanizmy utrzymywania się w systemie, dostęp do zbiorów danych, oznaki wycieku danych, a także przebieg wydarzeń w czasie aż do momentu zaszyfrowania.
Czy można zbadać również cyberataki, które miały miejsce w przeszłości?
Tak. Można również zbadać zdarzenia, które miały miejsce w przeszłości. Zakres możliwego badania zależy jednak między innymi od tego, jakie systemy nadal istnieją, jak długo przechowywano dane z logów oraz jakie zmiany wprowadzono od czasu zdarzenia.
Jakie systemy są badane w przypadku incydentu cybernetycznego?
W zależności od infrastruktury i rodzaju incydentu można zbadać między innymi systemy Windows, Linux i macOS, urządzenia Server i komputery stacjonarne, Active Directory i infrastruktury tożsamości, systemy wirtualne, zapory sieciowe, komponenty VPN i sieciowe, Microsoft 365 oraz inne usługi w chmurze, systemy poczty elektronicznej, dane EDR, XDR i SIEM, dane dziennika, nośniki danych, pamięć operacyjna oraz systemy tworzenia kopii zapasowych. Decydujące znaczenie ma nie tyle liczba, co znaczenie kryminalistyczne.
Jakie dane są potrzebne ekspertowi ds. informatyki śledczej?
W ramach wstępnej oceny istotne znaczenie mają przede wszystkim znany stan faktyczny, moment i sposób wykrycia, już stwierdzone nieprawidłowości, istniejące zgłoszenia dotyczące bezpieczeństwa, systemy i konta, których dotyczy problem, a także już podjęte działania zaradcze. To, jakie dane zostaną następnie zabezpieczone, wynika ze wspólnie określonych celów dochodzenia.
Czy można przeprowadzić analizę kryminalistyczną pakietu Microsoft 365?
Tak, w zależności od dostępnych danych z logów. Microsoft 365, Azure i inne usługi w chmurze należą do źródeł danych, które można zabezpieczyć i przeanalizować w ramach dochodzenia. To, jakie wnioski można wyciągnąć, zależy od tego, jakie dane audytowe i dane logowania są dostępne w konkretnym środowisku klienta oraz jak długo były one przechowywane.
Czy można przeprowadzić analizę naruszonej usługi Active Directory?
Active Directory i inne infrastruktury tożsamości należą do źródeł danych istotnych z punktu widzenia kryminalistyki. Można badać na przykład procesy logowania, nowo utworzone konta, zmiany uprawnień oraz korzystanie z kont uprzywilejowanych. To, czy pozwoli to uzyskać pełny obraz sytuacji, zależy od dostępnych danych logów i okresu ich przechowywania.
Jaką rolę odgrywa informatyka śledcza w ubezpieczeniu cybernetycznym?
W zależności od zlecenia raport z badania technicznego może zostać skonstruowany w taki sposób, aby istotne ustalenia techniczne zostały przedstawione w sposób zrozumiały dla ubezpieczycieli lub wyznaczonych przez nich podmiotów. To, jakie informacje są wymagane w konkretnym przypadku szkody, zależy od umowy ubezpieczenia i treści zlecenia. Nie wydajemy opinii dotyczących zakresu ubezpieczenia.
Jaką rolę odgrywa kryminalistyka informatyczna w przypadku incydentów bezpieczeństwa związanych z dyrektywą NIS2?
Jesteśmy w stanie zbadać i udokumentować techniczne okoliczności zdarzenia związanego z bezpieczeństwem. Ocena prawna konkretnego obowiązku zgłoszenia powinna zostać przeprowadzona przez właściwe organy lub przez dział prawny przedsiębiorstwa.
Czy raport kryminalistyczny może zostać później wykorzystany w postępowaniu sądowym?
Jeśli informacja ta jest znana już w momencie złożenia zlecenia, można odpowiednio dostosować zabezpieczenie dowodów, dokumentację oraz przebieg postępowania. Ogólna gwarancja późniejszej oceny sądowej byłaby jednak niepoważna; o wartości dowodowej ostatecznie decyduje właściwy sąd.
Nie tylko usunąć cyberincydent, ale także go zrozumieć
Po wystąpieniu incydentu bezpieczeństwa decyzje techniczne mogą mieć daleko idące konsekwencje. LanCologne pomaga w zabezpieczeniu istotnych śladów cyfrowych, przeprowadzeniu uporządkowanej analizy incydentu oraz przejrzystym udokumentowaniu uzyskanych ustaleń.