Наш почтовый ящик взломали, сказали, что расследование инцидента обязательно: кто это делает и что фиксируется?

Перезагрузив сервер, вы, скорее всего, уже стёрли активные сетевые сокеты в RAM и следы временных сессий злоумышленника. Первые панические действия системных администраторов обычно уничтожают именно те доказательства, которые больше всего нужны криминалистам. После этого ничего не устанавливайте и не удаляйте в системе; сразу снимите образ текущего диска.

Обязательно проверьте правила пересылки в почтовом ящике. Обычно злоумышленники создают правила, которые незаметно перенаправляют письма со словами счёт, оплата, платёжка на внешний адрес, или перемещают входящие ответы прямо в папку удалённых. Также немедленно заархивируйте логи административного аудита из консоли управления почтой.

Что нужно сделать прямо сейчас: выполнить команду «выйти на всех устройствах» из панели управления почтой и сделать двухфакторную аутентификацию обязательной для всех сотрудников без исключения. Даже если пароль сменили, оставшиеся активными токены сессий могут позволить злоумышленнику остаться внутри.

В прошлом году в нашем логистическом офисе в Москве был точно такой же случай подмены счёта. За расследование инцидента мы заплатили местной компании по кибербезопасности 450 000 RUB. В ходе проверки выяснилось, что злоумышленник через фишинговое письмо на компьютере бухгалтера 43 дня тихо следил за перепиской изнутри.

банк в последний момент спохватился — это невероятная удача честно, 3,8 млн рублей не мелочь. кстати но консультант прав, эти ребята скорее всего залезли не только в тот ящик, но и в другую машину в сети. не откладывайте расследование, я бы так сказал.

По законодательству Российской Федерации у вас есть правовые обязанности по защите персональных данных и коммерческой тайны. Если у инцидента есть последствия за пределами компании и вы будете подавать заявление в правоохранительные органы, лицензированное экспертное заключение, подтверждающее, что цепочка доказательств не нарушена, станет вашей единственной действительной опорой в суде.

Такие мошенничества со счетами не делаются наугад. Злоумышленник заранее изучил ваш бухгалтерский документооборот, манеру общения с поставщиком и даты выставления счетов. Это говорит о том, что они наблюдали изнутри дни, а то и недели. Ваша внутренняя команда потушит только видимый пожар; для анализа первопричины обязательно нужен сторонний экспертный взгляд.

Я маленький бизнес, расскажу со своей стороны. Если разрешение и объем тестирования не зафиксированы письменно тест не начинать.

Удачи.

Взял на заметку, спасибо.

Расскажу, что было у меня, вдруг пригодится. Когда пытаешься изменить всё сразу, ничего не приживается.

Это мое мнение, не утверждаю, что оно единственно верное.

Есть один момент, который меня интересует. Спешка в решениях оборачивается исправлениями через полгода.

Я бы пошел этим путем.

Здесь нужно провести различие. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

По теме расследование инцидента так категорично говорить сложно. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Оставлю как заметку, пригодится.

Спасибо, это именно то, что я искал. Ошибка, сделанная на стороне расследование инцидента, обычно исправима, но дорого.

Я бы пошел этим путем.

Краткое резюме для новичков: Время обнаружения проблемы напрямую определяет ее стоимость.

Исправьте если я ошибаюсь.

Не могли бы вы это пояснить? Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Большая часть потерь времени копится на задачах, ожидающих согласования. Исправьте, если я ошибаюсь.

Расскажу, что было у меня, вдруг пригодится. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Проверено опытом.

В целом верно но один момент упущен. Все кто торопится с расследование инцидента спотыкаются на одном и том же.