Главная мысль
Проследите один контролируемый сценарий от начала до конца: источник сигнала, связанные события, решение, подтверждение, ответное действие и сохранение доказательств должны быть понятны.
Заранее выберите сценарий и критерии успеха
Выберите безопасный сценарий, связанный с приоритетом команды, например подозрительную цепочку процессов или тестовый индикатор. Запишите, на каких устройствах проверяется видимость, какие шаги выполняет аналитик и какое решение о реагировании нужно оценить; не запускайте вредоносный код в рабочей среде.
Проследите путь от сигнала до временной шкалы
Проверьте, почему возник сигнал и какие события процессов, файлов, пользователей и устройств с ним связаны. Поиск, временная шкала и экспорт доказательств должны помогать аналитику понять последовательность; уточните, как фиксируются ложные срабатывания и подтверждённые инциденты.
Проверьте реагирование и порядок подтверждения
Попросите показать изоляцию, карантин файла или другое действие. Зафиксируйте, что выполняется автоматически, что требует подтверждения, кто вправе отключить устройство от сети и как отменяется ошибочное решение. Функцию отката проверяйте отдельно для поддерживаемого сценария и платформы.
Проверьте совместимость в своей среде
Сверьте инвентарь рабочих станций, серверов, мобильных и удалённых устройств с матрицей поддержки и лицензией. Проверьте на своей конфигурации установку агента, автономную работу, применение политик, интеграции SIEM/ITSM, API и сетевые требования.
Оцените нагрузку на команду и результаты проверки
Зафиксируйте число шагов аналитика, объяснимость сигнала, необходимость настройки и возможности хранения и экспорта. Запустите один и тот же сценарий для каждого кандидата и оцените качество обнаружения, время расследования, ложные сигналы, контроль реагирования и операционную нагрузку по заранее выбранной методике.
Какие данные удалось получить
Запишите тестовое устройство, ОС, время события и его поступления в консоль. Проверьте, видны ли связи между учётной записью, процессом и файлом.
Результат расследования
Покажите, как аналитик восстановил последовательность и нашёл связанную активность на других устройствах. Сохраните хронологию, условие поиска и итоговое решение.
Запись действий при реагировании
Кто, с чьим разрешением и на каком устройстве выполнил действие? Внесите в протокол результат, состояние управляющего соединения и отмену действия.
Решение после пилота
Сопоставьте результаты с исходными критериями. Зафиксируйте открытые вопросы совместимости и интеграции, необходимую настройку и ответственного за эксплуатацию.