Исследование БД подходит, если нужно проверить конкретные чтения, выгрузки, изменения, права, сессии или журналы аудита самой СУБД. Если требуется установить путь проникновения, вредоносное ПО, фишинг, действия на рабочих станциях, сетевой трафик или общий масштаб компрометации, нужна экспертиза инцидента кибербезопасности.
Превентивная проверка мер защиты относится к аудиту ИБ. Эти задачи можно решать комплексно, но одного дампа базы для них недостаточно. Эксперт описывает технические следы и ограничения; правовая квалификация утечки, виновность и обязанность уведомить регулятора не определяются одним техническим выводом.
Как можно раньше сохраните журналы аудита БД, приложений, VPN и средств защиты. Делать это следует по плану, который не уничтожит исходные данные и не нарушит работу системы. Короткие сроки хранения логов часто становятся главным ограничением ретроспективного исследования.