人工取证不堪重负！自动化DFIR（数字取证和事件响应）才是未来

数十年来，数字取证工作在司法侦查的不同分支中不断发展，已成为全球执法活动中非常重要的组成部分。与此同时，由于互联网和全球化的发展，犯罪形式多样化，执法人员也需要通过自动化的数字取证工具，才能获取关键的数字证据，将不法分子送入监狱。

日前，Magnet forensics研究团队最新发布了《企业数字取证和事件调查（DFIR）应用现状》研究报告。报告研究认为，数字取证市场目前发生了很大变化，可以用两个词来概括：速度和准确率。如何尽快将违法证据提交给调查人员是将网络犯罪分子绳之以法的关键。然而，这并不容易实现，一些数字取证领域的从业者已经不堪重负。因此，需要将更多的自动化技术纳入数字取证工作流程来实现更快的取证速度，同时更完整的保留证据链。

常见的DFIR事件与挑战

据报告研究数据显示，2022年数据泄露与账号窃取占整体取证活动的35%，是最常见的DFIR事件，紧随其后的是商业电子邮件泄露（34%）。有14%的受访者表示，他们的组织会经常遭遇BEC骗局。其他常见DFIR事件包括员工不当行为（33%）、滥用资产或违反政策（30%）、内部欺诈（29%）和感染勒索软件的端点（28%）。

DFIR事件占比情况

数据泄露、账号窃取和勒索软件都会对组织业务发展产生巨大影响。DFIR调查人员在这方面开展工作非常困难，因为快速调查勒索软件和数据泄露事件需要充分的经验和工具支撑，而网络犯罪分子也在试图让这些调查变得更加困难。

45%的受访者认为：“不断增长的数字取证需求和数据量”是影响DFIR调查的最大挑战，其中13%认为这是一个非常严重的问题，32%认为这是一个较严重的问题。

另一方面，随着攻击的规模和复杂性都在不断发展，威胁行为者使用了更多的技术来加大检测难度，有42%的受访DFIR人员表示，不断发展的网络攻击技术在他们的组织中是一个难以应对的严重问题。要跟上新型网络攻击的演进步伐无疑是一项艰巨的挑战，公司需要更多地依赖于研发专家，专注于为组织配备新的、不断发展的战术、技术和程序。

其他关键挑战还包括无法彼此集成的工具（37%）、耗时重复的任务（37%）、获取数据时缺乏合规的许可机制（34%）、远程/混合办公模式激增（31%）、难以从远程网络中获取数据（31%）以及缺乏专家（30%））。

影响DFIR调查的挑战因素占比

DFIR面临的困难和挑战

在DFIR工作中存在大量的重复性任务，急需通过自动化工具来完成这些调查任务。很多企业的安全运营中心已经在大量利用自动化技术，因为它们需要处理海量的安全监测数据。但DFIR所需要的自动化能力和安全运营有明显差别，因为它主要需要通过编排、执行和监控取证工作流程来进行数据获取和处理。

超过50%的受访DFIR人员表示，目前的数字取证工作流中仍然存在大量重复性的人工操作任务，企业在自动化方面的投资对于DFIR工作优化会非常有帮助；超过20%的受访者表示，自动化在远程获取目标端点、对目标端点进行分类、处理数字证据以及记录、总结和报告事件方面的价值非常显著。

64%的企业DFIR从业者认为“调查疲劳”是一个真实存在的客观问题（29%对此强烈认同，35%比较认同），而21%的受访者强烈表示他们在日常工作中已感到精疲力尽。大量的调查和数据，以及快速运行事件响应的必要性所造成的压力，使这些专业人员很难放松。此外，64%的受访者表示，招聘合适的数字取证人才也是一个主要挑战（30%强烈认同，30%有些认同），因为数字取证工作有一定的行业属性，要求也会因公司的业务特点不同而有差异。

DFIR工作倦怠和招聘问题

报告研究还显示，在快速发展的DFIR领域，需要经验丰富和决策果断的领导者，才能有效制定取证战略和合理分配资源。超过33%的受访者表示，强力的领导者有助于DFIR人员获取所需的完整数据源，而这通常很难实现。

报告数据显示，造成DFIR资源浪费的最大原因是缺乏连贯的事件取证计划和工作策略（37%），以及缺乏标准化流程（36%）。其他因素还包括无法访问数据来源（35%）、重复手动的任务（34%）、技术工具冗余及复杂化（28%）。

造成资源浪费的因素

需要特别指出的是，法规遵从也是DFIR工作面临的一个重大挑战。67%的受访DFIR人员表示，他们的工作角色会受到各种新法规的影响，46%的受访者表示没有足够的时间来充分理解不断变化的法规要求。DFIR团队需要准确了解法规要求，必要时应该与公司的法务部门沟通咨询。

优化DFIR工作的建议

企业应该投资于优先考虑速度、准确性和完整性的DFIR解决方案。在分析安全事件时，更多的延迟意味着更大的风险。因此，企业应该大力实施自动化，以帮助DFIR专业人员减少倦怠并降低调查延误。

每个企业都应该提前储备一款好用的自动化数字取证工具，借助可靠的数字取证分析工具，可以帮助取证人员获取关键性的数字证据，从而对不法分子进行处罚。

此外，提前制定DFIR计划也是必不可少的。该计划将明确角色和责任，并详细说明取证和事件响应需要如何完成。它还应该通过明确的指令和规则来访问必要的数据，保障关键取证数据源的安全可用。

最后，如果企业内部团队缺乏完整的DFIR调查专业技能，可以选择外包部分DFIR调查业务。这也是DFIR应用发展的主流趋势。近一半的受访者（47%）表示，使用外包DFIR服务的主要原因是缺乏专业知识；而另一个原因（38%）是没有所需的专业化工具，这些工具在某些情况下可能非常昂贵。

参考链接：https://www.techrepublic.com/article/digital-forensics-incident-response-most-common-dfir-incidents/