ИЮЛЬ. Логи и телеметрия: сможете ли вы восстановить атаку спустя 30 дней

Хорошее расследование начинается не после атаки, а за месяцы до неё — в момент, когда вы решаете, какие события сохранять и где. Если нужный журнал жил только на атакованном сервере, его могут удалить. Если retention короткий, история исчезнет раньше, чем станет понятно, когда начался инцидент. Если часы не синхронизированы, события не складываются в единую цепочку.

 

Один сервер, один маршрут

Выберите один критичный сервер и попробуйте восстановить его активность за последние 30 дней: входы, процессы, административные действия, сетевые соединения, изменения конфигурации. Не проверяйте сразу всю компанию. Важно пройти один маршрут полностью и увидеть реальные слепые зоны.

 

Семь вопросов

Какие события генерирует узел? Уходят ли они наружу? Синхронизировано ли время? Хватает ли retention? Есть ли сетевой контекст? Логируются ли процессы и команды? Есть ли событие, которое вызывает detection или reaction, а не просто попадает в архив? Эти вопросы важнее самого факта наличия SIEM.

 

Что показал Talos

Cisco Talos IR сообщила, что недостаточное журналирование и visibility были второй по частоте слабостью в Q2 2026: 42% расследований против 18% кварталом ранее. Среди примеров были очень короткое хранение security logs на контроллерах домена, отсутствие NetFlow, локальные журналы, которые удалялись злоумышленниками, и слишком короткий retention облачной телеметрии.

 

Проверка пройдена, если

Критичные журналы живут вне узла, часы синхронизированы, глубина хранения известна, а после очистки локальных логов у команды остаётся достаточно данных, чтобы восстановить вход, команды, сетевые связи и изменения.

 

Как это связано с решениями Смарт-Софт

TING в этой архитектуре — источник сетевой и security-телеметрии: NetFlow, журнал сетевого экрана, Syslog/syslog-ng, удалённая отправка журналов, события IDS/IPS. Pereluk — слой обнаружения, корреляции и автоматизации реакции поверх поступающей телеметрии. Вместе они помогают сократить разрыв между событием и реакцией, но не заменяют централизованное хранилище журналов и SIEM.

 

Что сделать сегодня

• Выбрать один критичный сервер.
• Проверить 30 дней истории входов, процессов и сетевых связей. 30 дней в этой проверке - тестовый горизонт, а не рекомендуемый срок хранения. Cisco Talos рекомендует минимум 90 дней централизованного хранения security logs.
• В тестовой среде убедиться, что расследование остаётся возможным после очистки локального журнала.

 

Источники

• Cisco Talos Incident Response. IR Trends Q2 2026.
• Smart-Soft. Техническая документация TING: NetFlow, firewall log, Syslog/syslog-ng, IDS/IPS.

 
Последняя техническая проверка: 14.10.2026.