Хронология подозрительной активности в аккаунте
Версия 2.7
Определить первоначальный сигнал
Запишите, что именно заметила команда: вход в неизвестное время, несогласованное изменение доступа или действие, которое никто не может подтвердить. Сохраните видимое время с часовым поясом и идентификатор организации. Если сообщение пришло по почте, проверьте его в официальном кабинете и используйте привычный путь входа. Время письма можно сохранить как отдельный факт, чтобы не путать его с моментом наблюдаемого действия.
Что передать по защищённому каналу
Укажите время подозрительного входа, часовой пояс, идентификатор организации и краткое описание первого сигнала. Добавьте, какие действия уже выполнил владелец и какие функции продолжают работать. Если известно название затронутого ключа, запишите только его название или безопасный идентификатор. Полное значение ключа, пароль, резервный код, одноразовый код и содержимое сессионных данных передавать нельзя.
Сохранить порядок действий
В хронологии оставляйте отдельные строки для наблюдения, сообщения владельцу, отзыва сеанса и отзыва ключа. Владелец отзывает активные сеансы и затронутые ключи. После каждого действия зафиксируйте исполнителя, исходное время и видимый результат. Если результат неизвестен, пометьте его как ожидающий проверки. Не записывайте предположение о виновнике как подтверждённое событие.
Проверить связанную интеграцию
Если затронутый ключ использовался интеграцией, попросите ответственного за неё проверить, какие операции зависят от этого доступа. Отдельно отмечайте техническую недоступность после отзыва и исходное подозрительное событие. Перед восстановлением штатной работы сверяйте с владельцем область доступа для новой конфигурации. Сведения для разбора передавайте без заголовков авторизации и содержимого хранилища секретов.
Получить подтверждение специалиста
Случай подозрения на компрометацию передаётся специалисту по безопасности. Дополняйте существующее обращение проверенными фактами и отметьте, какая часть хронологии ещё требует подтверждения. После получения ответа владелец сверяет оставшиеся доступы и штатную работу согласованных пользователей. Зафиксируйте в рабочей записи только необходимые сведения о результате и об оставшихся действиях. Окончательный вывод о масштабе инцидента формулируйте по подтверждённой проверке.
Неожиданный вход во время складской смены
Оператор получил письмо о входе в момент, когда работал в уже открытой вкладке. Он фиксирует время письма отдельно, проверяет видимые события в кабинете и связывается с владельцем через привычный рабочий канал. Владелец отмечает, какой сеанс отозван и проверялась ли связанная интеграция. Команда продолжает вести запись от первого наблюдения, чтобы специалист мог отличить исходную активность от действий, выполненных при разборе.