DLP-алерт сработал в понедельник — но инсайдер готовился две недели: LNK-файлы, ShellBags и USN Journal хранят полный kill chain до переустановки ОС.Форензика рабочей станции строится на артефактах Windows, которые инсайдер не может удалить вручную...
Расследование инсайдерских инцидентов: форензика рабочих станций, анализ USB-активности и облачных хранилищ
Источник: codeby.net