forensics best-practice céges környezetben

Sziasztok!

Anyagot gyűjtök a fenti témában, a feladat egy olyan forensics eljárási utasítás kidolgozása, ami egy cégen belüli informatikabiztonsági incidens esetén alkalmazható.
pl. 1: malware/rootkit/trójai fertőzés esetén felderítés, nyomok megőrzése (image készítés, mikor lehet felbootolni, mikor lehet felcsatolni a képet, milyen live cd-vel érdemes, milyen adatokat célszerű keresni stb) - maga a gép megtisztítása nem képezi részét ennek az eljárási utasításnak.
pl. 2: egy munkatárs a céges gépével elért olyan adatokat vagy erőforrásokat, amiket nem lehetett volna, teszem azt megszerzett egy admin jelszót és távolról bejelentkezett egy szerverre, ahol buherált valamit, stb. - a cél itt is hasonló, mindent, amit csak ki lehet deríteni az ő gépéről, azt megőrizni, izolálni, majd biztonságos környezetben analizálni.

Best practice-k, elérhető doksik, cikkek, tapasztalatok a témakörben, mindennek örülnék!

Köszi!