InvestigationThe goal of an investi

Investigation
The goal of an investigation is to determine facts that describe what happened, how it
happened, and in some cases, who was responsible. As a commercial IR team, the
“who” element may not be attainable, but knowing when to engage external help or law
58
enforcement is important. Without knowing facts such as how the attacker gained access
to your network in the first place, or what the attacker did, you are not in a good
position to remediate. It may feel comforting to simply pull the plug and rebuild a
system that contains malware, but can you sleep at night without knowing how the
attacker gained access and what they did? Because we value our sleep, we’ve
developed and refined a five-step process, shown in Figure 2-2, that promotes an
effective investigation. In the following sections, we cover each of the five steps in
detail.
Maybe It’s Best Not to Act Quickly
During an investigation, you will likely come across discoveries that you feel
warrant immediate action. Normally, the investigation team immediately reports
any such critical findings to the appropriate individual within the affected
organization. The individual must weigh the risk of acting without a sufficient
understanding of the situation versus the risk of additional fact-finding activities.
Our experience is that, in more cases than not, it is important to perform additional
fact-finding so you can learn more about the situation and make an appropriate
decision. This approach certainly has risk because it may provide the attacker with
further opportunity to cause harm. However, we have found that taking action on
incomplete or inaccurate information is far more risky. There is no final answer,
59
and in each incident, your organization must decide for itself what is acceptable.

Kết quả (Việt) 2:

Điều tra
Mục đích của cuộc điều tra là xác định sự kiện mô tả những gì đã xảy ra, làm thế nào nó
đã xảy ra, và trong một số trường hợp, người chịu trách nhiệm. Là một đội IR thương mại, các
yếu tố "người" không thể đạt được, nhưng biết khi tham gia trợ giúp bên ngoài hoặc luật
58
thực thi là rất quan trọng. Mà không biết sự thật như thế nào những kẻ tấn công đã đạt được quyền truy cập
vào mạng của bạn ở nơi đầu tiên, hoặc những gì các kẻ tấn công đã làm, bạn đang không ở trong một tốt
vị trí để khắc phục. Nó có thể cảm thấy an ủi khi chỉ đơn giản là kéo phích cắm và xây dựng lại một
hệ thống có chứa phần mềm độc hại, nhưng bạn có thể ngủ vào ban đêm mà không biết làm thế nào các
kẻ tấn công đã đạt được quyền truy cập và những gì họ đã làm? Bởi vì chúng tôi coi trọng giấc ngủ của chúng tôi, chúng tôi đã
phát triển và cải tiến một quá trình năm bước, thể hiện trong hình 2-2, thúc đẩy một
cuộc điều tra có hiệu quả. Trong phần sau, chúng tôi bao gồm một trong năm bước trong
chi tiết.
Có lẽ đó là tốt nhất Không Act Nhanh chóng
Trong một cuộc điều tra, có thể bạn sẽ đi qua những khám phá mà bạn cảm thấy
bảo đảm hành động ngay lập tức. Thông thường, các đội điều tra ngay lập tức báo cáo
những phát hiện quan trọng như vậy để các cá nhân thích hợp trong các ảnh hưởng
tổ chức. Các cá nhân phải cân nhắc những nguy cơ của hành động mà không có đủ
hiểu biết về tình hình so với nguy cơ thêm các hoạt động tìm hiểu thực tế.
Kinh nghiệm của chúng tôi là, trong trường hợp hơn không, điều quan trọng là phải thực hiện thêm
tìm hiểu thực tế, do đó bạn có thể tìm hiểu thêm về tình hình và thực hiện một cách thích hợp
quyết định. Cách tiếp cận này chắc chắn có nguy cơ vì nó có thể cung cấp cho các kẻ tấn công với
cơ hội hơn nữa để gây hại. Tuy nhiên, chúng tôi đã phát hiện ra rằng hành động trên
thông tin không đầy đủ hoặc không chính xác là đến nay nhiều rủi ro. Không có câu trả lời cuối cùng,
59
và trong mỗi sự kiện, tổ chức của bạn phải quyết định cho mình những gì là chấp nhận được.