Форензика под нагрузкой ломается первой: как не потерять следы инцидента

Форензика под нагрузкой ломается первой: как не потерять следы инцидента

При пике нагрузки основная ошибка — начинать «лечить» сервисы раньше, чем зафиксированы артефакты. Логи перезаписываются, метрики усредняются, а временные файлы исчезают вместе с контейнерами. В такой среде первичен не анализ, а сохранение состояния.

Держите минимальный контур реакции:
— снимок процессов, сетевых соединений и открытых файлов;
— выгрузка логов с узлов, прокси, WAF, CI/CD и брокеров;
— экспорт метрик по ошибкам, латентности и аномальным редиректам;
— фиксация времени, часового пояса и схемы синхронизации NTP.

Не перезапускайте подозрительные узлы до снятия артефактов. Не расширяйте права доступа «для удобства расследования»: это меняет следы не хуже атаки. Для контейнеров полезно иметь отдельный канал сбора stdout/stderr и централизованный storage с неизменяемым хранением; для облака — аудит действий API и событий IAM.

Если инцидент затрагивает несколько сервисов, выделяйте один координационный канал и один ответственный контур. Иначе команда параллельно будет тушить симптомы, теряя причинно-следственную цепочку между входным запросом, внутренним вызовом и изменением состояния.

Проверяйте логи, истина всегда скрыта в них.