Это уже устарело всё. Сейчас устанавливаются EDR системы, Endpoint Detection & Response. Они просто перехватывают (в т.ч.файловый) API операционной системы, и всё это складируется в единую графовую базу данных. Это идёт сразу, с лаптопом вашим, как только на работу строились.caltrain писал(а): ↑Чт апр 13, 2023 12:30 pm просто, перед этим случилась жабо-гадючная история. судили сотрудника, который перед уходом скопировал бд. но его сдал другой такой же мудак. нашли файл через undelete. не важно, восстанавливался ли файл или нет, но уже название само за себя свидетельствовало.
Логи имеют такой формат: запущенное приложение, открытый файл, удаленный файл, какое приложение открыло или запустило файл.
Поэтому если кто-то запустил trojan.exe или создал document.pdf и отправил на принтер, то будет видна точная дата - когда это сделано, в какое время, хеш файла, какая именно программа была использована для этого.
Там сейчас такие корпоративные трояны, что они и аналитику собирают, и искусственный интеллект туда прикручивают. А самое главное - все файлы, запуски, открытия, закрытия и удаления - там уже есть. Можно глянуть в гугле по запросу "edr software screenshot" как оно выглядит.