ПРОВЕРЯЕМ ИБ ПОСЛЕ ПРАЗДНИКОВ ЗА 30 МИНУТ

«Полный аудит за полчаса невозможен. Цель экспресс-проверки — найти признаки атаки и провалы контроля, назначить владельцев и решить: запускать реагирование сейчас или срочно исправлять».

До старта
Задайте период: от последней подтверждённой проверки перед выходными до текущего момента. Откройте SIEM, EDR/XDR, IdP, VPN, облачные журналы, консоль бэкапов, список критичных и внешних активов, журнал изменений и план реагирования.

Не ставьте новые агенты и не запускайте неподготовленное сканирование критичных систем. Нет данных — фиксируйте разрыв наблюдения, владельца и срок углублённой проверки.
0–5 минут — доступ и привилегии
Проверьте:
• новых пользователей, сервисные учётные записи и ключи;
• добавления в админ-группы и облачные роли;
• включение отключённых аккаунтов;
• сбросы паролей и MFA, новые факторы;
• изменения условного доступа, федерации, OAuth-приложений и временных прав.

Для каждого изменения сопоставьте субъект, время, заявку, согласовавшего и объём прав. Неподтверждённое изменение — не доказательство взлома: сохраните журналы и проверьте активность.
5–10 минут — сигналы
Отберите критические и высокие оповещения без владельца, повторы по одному пользователю или узлу, сигналы на критичных активах, отключение защиты и незавершённые расследования.

У значимого сигнала должны быть актив, время, телеметрия, статус, владелец и следующее действие. Не закрывайте его как ложное срабатывание без проверяемого основания.
10–15 минут — внешний периметр
По инвентарю подтвердите: сервис нужен; продукт и версия определены; уязвимость применима; есть исправление или компенсация; в WAF, EDR и журналах нет признаков эксплуатации.

Сверьте применимые CVE с CISA KEV. Каталог содержит уязвимости, эксплуатировавшиеся в реальных атаках, и помогает расставлять приоритеты; наличие CVE в KEV не доказывает атаку именно на вас.
15–20 минут — видимость
На критичных узлах проверьте последнюю телеметрию, состояние агентов и политик, неожиданные исключения, остановку сервисов, время, хранилище и срок хранения журналов.

Сравните последнее событие с ожидаемым heartbeat. «Нет алертов» не равно «нет атак»: могла пропасть телеметрия. Необъяснимое отключение защиты эскалируйте.
20–25 минут — резервные копии
Проверьте последние задания и объём данных, изменения хранения, защиту админ-учёток, изолированную или неизменяемую копию, дату теста восстановления и RPO/RTO.

Статус «успешно» не подтверждает пригодность копии. Не восстанавливайте продуктивную систему ради экспресс-проверки: назначьте тест в изолированной среде.
25–30 минут — решение
Зафиксируйте находку, актив, минимальное доказательство или защищённую ссылку, приоритет, действие, владельца и срок:
• P1 — немедленное реагирование;
• P2 — срочное исправление;
• P3 — плановый процессный разрыв.

Не включайте в отчёт пароли, токены, cookie, ключи, полные дампы и лишние персональные данные. Если отчёт содержит ПДн, соблюдайте Федеральный закон № 152-ФЗ «О персональных данных»
и локальные правила; применимость уточняйте с юристом и ответственным за ПДн.
Когда остановить чек-лист
Запускайте план реагирования при использовании неизвестной привилегированной учётной записи; краже сессии, MFA-фактора, токена или ключа; вредоносном коде, закреплении, боковом перемещении или эксфильтрации; эксплуатации внешнего сервиса; шифровании либо массовом удалении копий.

Не выключайте и не очищайте подозрительное устройство без решения уполномоченного специалиста. Сначала сохраните доказательства; сдерживание выбирайте по плану, риску для бизнеса и возможности отката.
Что почитать и попробовать
• CISA Known Exploited Vulnerabilities Catalog — Используйте для приоритизации применимых CVE; запиь в каталоге сама по себе не подтверждает компрометацию вашей организации.
• NIST SP 800-61 Rev. 3 — Актуальные рекомендации по подготовке, обнаружению, реагированию и восстановлению после инцидентов.