После кибератаки на корпоративную информационную систему исследуют способ доступа, затронутые системы и данные, последовательность событий, изменение и удаление данных. Вывод зависит от сохранности журналов, образов носителей и других следов. Иногда возможны несколько объяснений, а путь проникновения остаётся неустановленным. Учётная запись или сетевой адрес сами по себе не определяют личность нападавшего. Экспертное исследование отвечает на согласованные вопросы и не заменяет работу команды, которая сдерживает продолжающуюся атаку и восстанавливает сервисы.
Изоляцию, смену ключей и решение о выключении поручают специалисту по реагированию: действия зависят от продолжающегося ущерба, оперативных данных и зависимостей системы. Фиксируют время и содержание каждого вмешательства, по возможности сохраняют состояние до восстановления, исходные копии отделяют от рабочих. Не разворачивают резервный архив поверх единственного исследуемого объекта. При риске для персональных данных сразу подключают ответственного сотрудника и юриста. До передачи копий согласуют защищённый канал и состав материалов; пароли и базы через обычную форму не отправляют.
По сохранившимся резервным копиям и носителям можно отдельно исследовать возможность восстановления данных без гарантии их полного восстановления. Установленный механизм атаки помогает определить направления профилактики; проектирование защиты, внедрение мер и восстановление сервисов согласуют как отдельные работы. Рекомендации не следует выдавать за доказательство того, как именно произошло событие.