Предмет исследования
Когда эта задача возникает
Проверяем предоставленный файл и признаки его поведения в рамках согласованной задачи. Объясняем, что подтверждается содержимым и наблюдаемыми действиями, а что основано только на сообщении антивируса.
- После открытия вложения возник инцидент, и нужно проверить связь между ними.
- Подрядчику предъявляют претензию из-за файла, который антивирус отметил как опасный.
На первичной оценке уточняем исследуемый период, конкретную версию объекта и обстоятельства, которые требуется проверить. Если несколько источников описывают разные состояния, их не смешивают в один результат.
Проверяемые обстоятельства
Примеры вопросов эксперту
Формулировки ниже — отправная точка. Их уточняют под предмет спора и сохранность исходных материалов.
- Какие функции и признаки потенциально вредоносного поведения обнаружены в файле?
- Соответствует ли исследуемый образец файлу, указанному в журнале инцидента?
- Какие наблюдаемые изменения или обращения может выполнять образец в проверочных условиях?
Подготовка
Что полезно предоставить
Не удаляйте приложения, не редактируйте файлы и не обновляйте систему ради подготовки к экспертизе. Перед началом любых действий уточните безопасный порядок сохранения данных.
Если части материалов нет, перечислите то, что сохранилось. Это не всегда исключает исследование, но может менять перечень разрешимых вопросов и глубину выводов.
Порядок передачи материалов ↗Порядок работы
Как строится проверка
- Определяем вопросы. Разбираем предмет спора и проверяем, какие ответы можно получить.
- Сохраняем состояние. Уточняем версию, источник, состав материалов и условия передачи.
- Исследуем признаки. Сопоставляем требования, функции, код, журналы и исходные данные.
- Связываем факты. Показываем, что подтверждено, а какие вопросы ограничены материалами.
- Готовим заключение. Описываем ход исследования и ответы на поставленные вопросы.
Для задачи «исследование подозрительных и вредоносных файлов» основу проверки составляют перечисленные выше объекты. Наблюдения описывают вместе с условиями получения: используемой версией, доступами, настройками и полнотой источников.
Активные проверки выполняются с разрешения владельца и по согласованному плану. Рабочие данные и системы третьих лиц не используются для несогласованных испытаний.
На выходе
Что вы получите
Описание образца, найденных признаков и наблюдаемого поведения с разграничением факта наличия файла и подтверждений его запуска.
- Описание исследованных объектов и их происхождения.
- Перечень проверок, наблюдений и использованных материалов.
- Ответы на согласованные технические вопросы с обоснованием.
- Ограничения исследования и необходимые иллюстрации.
Форма документа зависит от основания работы. Исследование по договору и экспертиза, назначенная судом, не смешиваются: необходимый формат определяем до начала работы.
Границы выводов
Что нельзя обещать заранее
При необходимости запуска используются изолированные проверочные условия, без распространения образца и воздействия на чужие системы. Отсутствие срабатывания антивируса не гарантирует безопасность, а наличие файла не доказывает его выполнение.
Мы не обещаем нужный стороне результат и не достраиваем отсутствующие данные предположениями. Если по отдельному вопросу материалов недостаточно, это должно быть отражено в результате.
Перед обращением
Частые вопросы
Какие материалы нужны для предварительной оценки?
Сам файл по предварительно согласованному безопасному каналу и сведения о его получении. На первом обращении достаточно описать задачу и доступные источники. Пароли и конфиденциальные архивы заранее не отправляйте.
Что можно получить по итогам исследования?
Описание образца, найденных признаков и наблюдаемого поведения с разграничением факта наличия файла и подтверждений его запуска.
Какие ограничения важно учитывать?
При необходимости запуска используются изолированные проверочные условия, без распространения образца и воздействия на чужие системы. Отсутствие срабатывания антивируса не гарантирует безопасность, а наличие файла не доказывает его выполнение.
Сколько стоит исследование и сколько оно длится?
Стоимость и срок определяются после оценки числа объектов, объёма данных, вопросов и необходимых методов. Условия согласовываются до начала работы; фиксированную цену по одному названию услуги не обещаем.
Можно ли начать работу дистанционно?
Да, первично обсудить задачу можно по телефону или электронной почте. После оценки уточним, достаточно ли копий и удалённого доступа или нужен исходный объект. Формат документа согласуем отдельно.