VPN-сервер организации — один из самых полезных источников. Он записывает, какая учётная запись когда подключилась, с какого внешнего адреса и какой внутренний адрес получила. Сопоставив это с журналами внутренних серверов, эксперт прослеживает цепочку от сеанса VPN до конкретного действия внутри сети. Коммерческие VPN-сервисы для частных лиц сведений о клиентах обычно не выдают, и цепочка обрывается на их сервере.
В облачной инфраструктуре основной источник — журналы действий, которые ведёт сам поставщик: входы в консоль управления, изменения настроек, обращения к хранилищам. Их выгружают из панели за доступный период; срок хранения у поставщика ограничен и зависит от тарифа и настроек.
Если спор касается облачной инфраструктуры, выгрузку стоит сделать сразу и сохранить вместе с описанием, кто и когда её получил. Скомпрометированные учётные записи заблокируйте и отзовите их ключи доступа, но не удаляйте: у части сервисов вместе с учётной записью теряется и её история. Перед блокировкой проверьте, не работают ли под ними обмены и резервное копирование.