DFIR: цифровая криминалистика и реагирование на инциденты

DFIR (Digital Forensics and Incident Response) — дисциплина, которая объединяет компьютерную криминалистику и реагирование на инциденты: команда одновременно собирает цифровые доказательства произошедшей атаки и останавливает её последствия. Расшифровка отражает два исторически разных, но практически неразделимых направления работы после инцидента.

Digital Forensics (компьютерная криминалистика) отвечает на вопрос «что именно произошло»: как злоумышленник попал в систему, какие файлы затронул, какие данные забрал. Incident Response (реагирование) отвечает на вопрос «что делать прямо сейчас»: как изолировать заражённый узел, заблокировать скомпрометированную учётную запись, остановить распространение атаки. На практике оба процесса идут параллельно — пока реагирование сдерживает атаку, форензика фиксирует доказательства, которые исчезнут после перезагрузки или переустановки системы.

DFIR — не название конкретного продукта и не отдельный класс СЗИ. Это область экспертизы и набор процессов, которые опираются на инструменты нескольких классов — EDR, SIEM, специализированное криминалистическое ПО — и на команду, способную работать с этими данными по правилам, которые не позволят оспорить доказательства позже.

Компьютерная криминалистика — методология сбора и анализа цифровых доказательств с сохранением их целостности и юридической значимости: любое действие с доказательством документируется, а исходные данные не изменяются. Без соблюдения этих принципов результат расследования остаётся неформальной версией событий, а не материалом, на который можно опереться в отчёте регулятору или в суде.

Два принципа, на которых держится дисциплина:

• Целостность доказательства — работа ведётся с копией (образом), а не с оригинальным носителем, чтобы исключить случайное изменение данных в процессе анализа.
• Цепочка сохранности (chain of custody) — документированный след каждого доступа к доказательству: кто, когда и с какой целью получал образ диска, дамп памяти или лог-файл, подтверждённый контрольной суммой на каждом этапе передачи.

Виды криминалистического анализа различаются по источнику данных:

Итоговый артефакт большинства расследований — восстановленный таймлайн атаки: хронологическая последовательность событий от первого проникновения до момента обнаружения, собранная из меток времени в логах, файловой системе и сетевом трафике. Таймлайн — основа как для отчёта о причинах инцидента, так и для доказательной базы, если дело доходит до разбирательства.

Реагирование на инциденты (Incident Response) по модели SANS (аббревиатура PICERL) проходит через шесть этапов — подготовку, обнаружение, сдерживание, устранение, восстановление и разбор уроков, — и пропуск любого из первых пяти обычно означает, что инцидент повторится в похожей форме. Это отраслевая, а не строго обязательная в РФ последовательность, но на неё опирается большинство плейбуков реагирования.

Стандарт NIST SP 800-61 описывает тот же процесс иначе: действовавшая ранее редакция Rev. 2 группирует его не в шесть, а в четыре укрупнённые фазы (Preparation; Detection & Analysis; Containment, Eradication & Recovery; Post-Incident Activity) — сдерживание, устранение и восстановление в ней объединены в одну фазу.

Актуальная редакция Rev. 3 (апрель 2025 года) отказалась от фиксированных фаз вовсе и описывает реагирование через функции NIST CSF 2.0. Шестиэтапная модель ниже — не изложение NIST, а отдельная модель SANS, распространённая в практике DFIR из-за более детальной разбивки среднего этапа.

↔ таблицу можно прокрутить вбок

Компьютерная криминалистика встроена преимущественно в этапы обнаружения и устранения: без образа диска и дампа памяти сложно доказать, что именно устранено, а что осталось незамеченным. Именно поэтому DFIR рассматривают как единую дисциплину — разделение форензики и реагирования на два изолированных процесса увеличивает риск того, что часть доказательств будет потеряна ещё до завершения сдерживания.

DFIR как экспертиза опирается на технологии нескольких классов СЗИ, а не на отдельный продукт — телеметрию с конечных точек даёт EDR, событийную корреляцию SIEM, контекст об угрозах — индикаторы компрометации. Ни один из этих классов не заменяет ручной криминалистический анализ, но без них DFIR-команда работает вслепую, без источника исходных данных для расследования.

Отдельная категория данных — индикаторы компрометации (IoC): хеши файлов, IP-адреса, доменные имена, связанные с конкретной атакой. DFIR-команда извлекает их в ходе расследования и передаёт в SIEM и TIP (Threat Intelligence Platform), чтобы обнаружить аналогичную активность в других частях инфраструктуры и предотвратить повторение инцидента. Если за атакой стоит устойчивая группировка, а не разовый инцидент, расследование может перерасти в более широкий разбор — см. материал «APT-атака».

Термин DFIR в российском законодательстве не используется, но обязанности, которые он покрывает, закреплены нормативно для субъектов критической информационной инфраструктуры (КИИ): по ст. 9 187-ФЗ они обязаны уведомлять о компьютерных инцидентах ГосСОПКА и НКЦКИ в короткий фиксированный срок с момента обнаружения — то есть уведомление уходит почти сразу, параллельно с началом расследования, а не по его итогам.

Ранее действовавший приказ ФСБ № 282 от 19.06.2019 устанавливал 3 часа для значимых объектов КИИ и 24 часа для иных объектов с момента обнаружения инцидента. С 30 января 2026 года его сменил приказ ФСБ России от 25.12.2025 № 547 (зарегистрирован Минюстом России 30.12.2025, № 84871): пункт 3 нового Порядка сохраняет ту же логику сроков — субъект КИИ направляет информацию о компьютерном инциденте в НКЦКИ не позднее 3 часов с момента обнаружения для значимого объекта КИИ и не позднее 24 часов для иного объекта КИИ, а также для информационного ресурса органа или организации, на которую распространяется эта обязанность.

Первое уведомление в НКЦКИ носит фактологический характер (что обнаружено, когда, какие системы затронуты) и не требует завершённого расследования; DFIR-команда донасыщает картину уточняющей отчётностью по мере того, как продвигается форензика и сдерживание.

Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) получает информацию об инцидентах от субъектов КИИ и координирует реагирование на уровне отрасли и страны. НКЦКИ, национальный координационный центр по компьютерным инцидентам, участвует в разборе значимых атак и может привлекаться к расследованию как внешняя сторона. Функцию DFIR внутри организации в этом контуре выполняет либо собственная команда, аккредитованная как корпоративный центр ГосСОПКА, либо привлечённый CERT/CSIRT — отраслевая или коммерческая команда реагирования на инциденты.

Если инцидент содержит признаки преступления — неправомерный доступ к охраняемой законом компьютерной информации, создание и распространение вредоносных программ — материалы DFIR-расследования могут стать частью доказательной базы в уголовном деле. Это прямая практическая причина, по которой цепочка сохранности доказательств — не формальность, а требование, влияющее на то, примет ли суд представленные материалы.