เก็บหลักฐานในชั่วโมงแรกของ Incident ก่อนร่องรอยเปลี่ยน
เมื่อพบการแชร์เอกสารผิดปกติ จะเก็บอะไรไว้ก่อนแก้สิทธิ์ ชวนแยกสิ่งที่พบออกจากสิ่งที่ทีมทำ เก็บไฟล์พร้อมบริบท และส่งต่อโดยไม่ปล่อยให้ความเสียหายดำเนินต่อ
เมื่อเจอโฟลเดอร์ใบเสนอราคาที่เปิดให้คนนอกเข้าถึงได้ เราคงอยากปิดลิงก์ทันที แต่หลังปิดแล้ว คนที่มาตรวจต่อจะรู้ไหมว่าเดิมมันเปิดให้ใคร และเราเปลี่ยนอะไรไปบ้าง
การเก็บหลักฐานในชั่วโมงแรกเริ่มจากเรื่องนี้ครับ จดสิ่งที่พบไว้ให้ทัน แล้วบันทึกสิ่งที่ทีมทำตามไปด้วย ยังไม่ต้องสรุปว่าใครเป็นคนผิดหรือข้อมูลหลุดแล้ว ลองใช้โฟลเดอร์นี้เป็นตัวอย่างสมมติ เพราะการเห็นลิงก์เปิดกว้างยังบอกไม่ได้ว่าใครเคยเปิดเอกสาร
จดสิ่งที่เห็น แล้วหยุดทางเข้าที่เสี่ยง
แจ้งคนรับผิดชอบเหตุ แล้วเปิดบันทึกหนึ่งชุดในพื้นที่ที่ทีมควบคุมได้ ใส่ชื่อคนพบ เวลา URL หรือรหัสโฟลเดอร์ และสิทธิ์ที่เห็น เช่น “บุคคลภายนอกที่มีลิงก์เข้าถึงได้” ถ้าเก็บภาพหน้าจอได้อย่างรวดเร็วก็เก็บพร้อมเวลาจับภาพ ภาพช่วยบอกสภาพตอนนั้น ส่วนประวัติว่าใครเปลี่ยนสิทธิ์ต้องตามจากบันทึกของระบบหรือ log อีกที
ถ้าคนขายส่งภาพมาให้ผู้ดูแล ก็จดด้วยว่าใครเป็นคนเห็นหน้าจอจริง ใครเป็นคนส่งต่อ และข้อความไหนเป็นคำอธิบายของคนขาย ภาพที่ถูกส่งต่อหลายรอบอาจเหลือเพียงบางส่วนจนไม่เห็นชื่อโฟลเดอร์ การขอข้อมูลเพิ่มควรช่วยให้ผูกภาพกับสิ่งที่พบได้ ไม่ใช่ให้ทุกคนลองเปิดลิงก์เพื่อดูว่าเข้าได้จริงไหมจนเพิ่มคนเข้าถึงเอกสารไปอีก
แยกเวลาที่เราเจอออกจากเวลาที่ระบบบันทึกเหตุไว้ พร้อมเขตเวลา ถ้าหน้าจอใช้ UTC ก็จดตามนั้น ไม่ต้องปรับเวลาบนเครื่องให้ตรง
ถ้าเอกสารยังเปิดอยู่ ผมจะไม่รอให้ดึงข้อมูลครบก่อนค่อยปิด ให้ผู้มีหน้าที่และสิทธิ์จำกัดการเข้าถึง พร้อมจดว่าใครทำอะไร เมื่อไร และทำไม ถ้าเก็บภาพก่อนเปลี่ยนไม่ได้ก็ระบุไว้ ยอมมีข้อมูลบางส่วนขาด ดีกว่าปล่อยให้เอกสารสำคัญเปิดต่อเพราะกำลังรอเก็บหลักฐาน
ถ้ามีคนทำงานพร้อมกัน ให้คนหนึ่งจดรวมว่าใครกำลังตรวจหรือแก้ส่วนไหน สมมติผู้ดูแลถอนลิงก์แล้ว แต่คนขายยังเห็นหน้าสิทธิ์เดิมอยู่ ก็ต้องรู้ก่อนว่าหน้าจอนั้นเปิดค้างไว้หรือมีการเปลี่ยนกลับ อย่าเพิ่งเขียนว่า “ผู้โจมตีเปิดสิทธิ์ใหม่” จากภาพที่ยังไม่ได้ตรวจ บันทึกที่แยกสิ่งที่เห็นออกจากข้อสงสัยช่วยให้ทีมตามเรื่องเดียวกันได้
การพบลิงก์เปิดกว้างยังไม่ยืนยันว่าบัญชีถูกยึด ให้คนรับผิดชอบประเมินต่อก่อนปิดบัญชีอื่นจนงานทั้งทีมหยุด
ส่งไฟล์พร้อมที่มาให้คนตรวจต่อ
เมื่อมีคนจัดการทางเข้าแล้ว ผู้ดูแลที่ได้รับอนุญาตค่อยดึงประวัติการแชร์และเหตุการณ์ที่เกี่ยวข้องกับโฟลเดอร์เดิมผ่านเครื่องและบัญชีที่เชื่อถือได้ จดชื่อบริการ ช่วงเวลาที่ค้น เขตเวลา ตัวกรอง และคนที่ดึงไว้ข้างไฟล์ด้วย ไฟล์ชื่อ “log.csv” อย่างเดียวอาจทำให้คนรับช่วงต้องกลับมาถามใหม่ทั้งหมด
รหัสโฟลเดอร์ช่วยตามของเดิมได้แม้ชื่อจะเปลี่ยน ส่วนชื่อไฟล์ที่อ่านง่ายช่วยคนตรวจเข้าใจว่ากำลังดูอะไร ควรเก็บทั้งสองอย่างไว้คู่กัน หากมีโฟลเดอร์ใบเสนอราคาหลายชุดชื่อคล้ายกัน การค้นจากชื่ออย่างเดียวอาจพาไปตรวจคนละชุดกับที่พบตอนแรก
ตรวจว่าไฟล์อ่านได้และมีช่วงเวลาที่ขอ ถ้าค้นไม่พบ ให้จดคำค้นกับสิ่งที่ยังขาดไว้ด้วย เพราะยังสรุปไม่ได้ว่าไม่มีใครเปิดเอกสาร
เก็บไฟล์ที่ได้รับมาโดยไม่แก้เนื้อหา แล้วใช้สำเนาอีกชุดสำหรับกรองหรือเรียงเวลา NIST SP 800-86 อธิบายการตรวจจากสำเนาทำงานและใช้ค่า hash ตรวจความคงเดิมของไฟล์ ค่านี้ช่วยดูว่าไฟล์เปลี่ยนหลังคำนวณหรือไม่ แต่ไม่ได้บอกว่า log ครบตั้งแต่ต้น และไฟล์ที่ดึงมาก็ไม่ได้แทนข้อมูลทั้งหมดบนระบบ
ถ้าต้องจัดเวลาให้อ่านง่ายหรือแปลข้อความจากระบบ ให้ทำในสำเนาและบอกว่าแก้อะไรไว้ด้วย คนรับช่วงจะย้อนกลับไปเทียบกับไฟล์ที่ได้รับมาได้ ผมชอบให้มีบันทึกสั้นอยู่ข้างไฟล์มากกว่าตั้งชื่อไฟล์ยาว ๆ เพื่อพยายามใส่ทุกอย่าง เพราะช่วงเวลาค้นกับข้อจำกัดมักอธิบายด้วยชื่อไฟล์อย่างเดียวไม่พอ
จำกัดคนอ่านและแก้ชุดนี้ ส่งผ่านช่องทางที่ทีมเชื่อถือได้ ไม่ใช้บัญชีที่กำลังสงสัยว่าถูกยึด แนบบันทึกสิ่งที่พบ สิ่งที่เปลี่ยน และคำถามที่ยังตอบไม่ได้ไปด้วย หากต้องตรวจเครื่องอย่างละเอียดหรือใช้ข้อมูลในข้อพิพาท ให้ผู้เชี่ยวชาญและผู้รับผิดชอบที่เกี่ยวข้องตกลงวิธีเก็บต่อ คู่มือ NIST เป็นแนวทางด้าน IT ไม่ใช่คำรับรองการใช้หลักฐานทางกฎหมาย
ก่อนส่งต่อ ลองให้คนที่จะรับเปิดชุดข้อมูลดูจากสิทธิ์ของเขาเอง และตรวจว่าเขาเห็นบันทึกกับไฟล์ที่ต้องใช้จริง การส่งลิงก์สำเร็จไม่ได้แปลว่าปลายทางเปิดได้ หากยังต้องรอสิทธิ์เพิ่ม ให้ระบุว่าใครกำลังจัดการ ไม่ต้องคัดลอกหลักฐานไปพื้นที่เปิดกว้างเพื่อแก้ความติดขัดเฉพาะหน้า
สำหรับโฟลเดอร์ใบเสนอราคานี้ ชั่วโมงแรกอาจจบโดยยังไม่รู้ว่าใครเปิดเอกสาร แต่คนรับช่วงควรรู้ว่าลิงก์ไหนถูกปิด ได้ข้อมูลช่วงใด และใครกำลังตามข้อมูลที่ขาดอยู่ บันทึกสั้น ๆ ที่ตอบเรื่องเหล่านี้ได้ช่วยให้ตรวจต่อทันที โดยไม่ต้องเริ่มจากถามทุกคนว่า “เมื่อกี้ทำอะไรไปบ้าง” ครับ