No evidence should be collected until a prosecutor is physically present at the facility / Жодні докази не повинні збиратися, доки прокурор не буде фізично присутній на місці

Operational restoration and evidentiary preservation should be documented as linked but distinct workstreams / Оперативне відновлення та збереження доказів слід документувати як пов'язані, але окремі робочі процеси

Investigators, CSIRTs, operators, engineers, and prosecutors should agree on priority questions and handover points / Слідчі, CSIRT, оператори, інженери та прокурори повинні узгодити пріоритетні питання та пункти передачі

Containment should consider safety, continuity of operations, and evidence preservation / Стримування повинно враховувати безпеку, безперервність операцій та збереження доказів.

Provider requests should be scoped to relevant identifiers and time windows / Запити постачальників повинні бути обмежені відповідними ідентифікаторами та часовими вікнами

Every raw log line collected during the exercise / Кожен рядок необробленого журналу, зібраний під час вправи

Evidence-based suspect/infrastructure theory and required next legal steps / Теорія підозрюваного/інфраструктури, що базується на доказах, та необхідні наступні юридичні кроки

A concise incident timeline with confidence levels / Стислий графік інциденту з рівнями достовірності

Affected assets, confirmed impact, attempted impact, and unresolved questions / Зачеплені активи, підтверджений вплив, спроба впливу та невирішені питання

Clear separation between operational recommendations and evidential conclusions / Чітке розмежування між оперативними рекомендаціями та доказовими висновками

Browser history, session artifacts, wallets, SSH/VPN traces, and local files can corroborate provider records / Історія браузера, артефакти сеансу, гаманці, трасування SSH/VPN та локальні файли можуть підтверджувати записи провайдера

A browser history entry alone is sufficient for an arrest-ready theory / Одного запису в історії браузера достатньо для теорії, готової до арешту

Absence of one expected artifact proves the suspect was not involved / Відсутність одного очікуваного артефакту доводить, що підозрюваний не був причетний

Original images and extracted artifacts should be hashed and tracked separately / Оригінальні зображення та вилучені артефакти слід хешувати та відстежувати окремо.

Recovered artifacts should be matched to timestamps, accounts, infrastructure, and prior provider returns / Відновлені артефакти слід зіставити з часовими позначками, обліковими записами, інфраструктурою та попередніми поверненнями постачальників.

Tighter approval, monitoring, and anomaly detection for third-party remote access / Більш суворе схвалення, моніторинг та виявлення аномалій для віддаленого доступу третіх сторін

Permanent removal of all contractor access regardless of operational need / Постійне позбавлення доступу всіх підрядників незалежно від операційної потреби

Validated incident playbooks that integrate OT engineering, CSIRT, law enforcement, and prosecution roles / Перевірені методичні посібники з інцидентів, що інтегрують OT-інженерію, CSIRT, ролі правоохоронних органів та прокуратури

Provider-preservation and legal-process templates prepared before the next incident / Шаблони для збереження постачальників послуг та юридичних процедур, підготовлені до наступного інциденту

Improved log retention, network capture capability, and OT-aware SIEM rules / Покращено зберігання журналів, можливості мережевого захоплення даних та правила SIEM з урахуванням OT

False or deceptive items should be explicitly separated from the accepted timeline / Хибні або оманливі елементи слід чітко відокремити від прийнятого графіка

Unconfirmed leads should identify what additional process or validation is needed / Непідтверджені потенційні клієнти повинні вказувати, який додатковий процес або перевірка потрібні

Assessed findings may rely on multiple converging indicators but should not be overstated / Оцінені результати можуть спиратися на кілька збіжних показників, але їх не слід перебільшувати

Confirmed findings should be directly supported by evidence available in the case record / Підтверджені висновки повинні бути безпосередньо підтверджені доказами, наявними в матеріалах справи

Confidence labels should be visible in operational and prosecutorial briefings / Мітки довіри повинні бути видимими в оперативних та прокурорських брифінгах

Financial evidence should be correlated with hosting, provider, endpoint, and seized-device evidence / Фінансові докази повинні бути пов'язані з доказами щодо хостингу, провайдера, кінцевої точки та вилученого пристрою.

Blockchain evidence may support leads but should not be isolated from legal-process returns / Докази блокчейну можуть підтверджувати потенційні потенційні клієнти, але їх не слід відокремлювати від звітів судового процесу.

A wallet label or cluster alone proves the identity of the person controlling funds / Одна лише етикетка гаманця або кластер підтверджує особу, яка контролює кошти

VASP KYC, login IPs, device data, and account records can link transactions to a person or account / KYC VASP, IP-адреси для входу, дані пристроїв та записи облікового запису можуть пов'язувати транзакції з особою або обліковим записом.

On-chain analysis can show transaction flow and infrastructure-funding patterns / Аналіз блокчейну може показати потік транзакцій та моделі фінансування інфраструктури

Treat screenshots as sufficient preservation even when source URL and collection time are missing / Розгляд скріншотів як достатнє збереження, навіть якщо відсутні URL-адреса джерела та час збору

Let a historical CTI report replace victim-side and provider-side evidence / Дозволити історичному звіту CTI замінити докази з боку жертви та постачальника послуг

Separate historical context from evidence generated in the current case / Відкоремлення історичного контексту від доказів, отриманих у цій справі

Use public reporting to develop hypotheses and search terms / Використання публічної звітності для розробки гіпотез та пошукових термінів

Live-scan historical infrastructure merely because it appears in public reporting / Історична інфраструктура в режимі реального часу лише тому, що вона з'являється у публічних звітах

Hosting or VPS account records / Записи облікового запису хостингу або VPS

Email, phishing, or domain/registrar records / Електронна пошта, фішинг або записи про домен/реєстратор

VPN, access portal, or authentication logs / Журнали VPN, порталу доступу або автентифікації

Social media account registration, login, and recovery metadata / Метадані реєстрації, входу та відновлення облікового запису соціальних мереж

A single provider return, without corroboration from other evidence / Повідомлення від одного постачальника без підтвердження іншими доказами

When converging evidence links conduct, infrastructure, accounts, timing, legal process returns, and seized or endpoint artifacts / Під час об'єднання доказів пов'язуються поведінка, інфраструктура, рахунки, терміни, звіти судових процесів та вилучені або кінцеві артефакти

When blockchain clustering suggests possible proximity to malicious infrastructure / Коли кластеризація блокчейну вказує на можливу близькість до шкідливої інфраструктури

When the technical indicators match a known threat group profile / Коли технічні індикатори відповідають відомому профілю групи загроз

When the suspect denies involvement but cannot explain every artifact / Коли підозрюваний заперечує свою причетність, але не може пояснити кожен артефакт

When the same alias appears in two unrelated screenshots / Коли один і той самий псевдонім з'являється на двох непов'язаних знімках екрана

Use confidence levels such as confirmed, assessed, unconfirmed lead, and false/deceptive / Використання рівнів достовірності, такі як підтверджений, оцінений, непідтверджений потенційний клієнт та хибний/оманливий

Separate confirmed exercise evidence from assessed intelligence context / Відокремити підтверджені докази навчань від оціненого розвідувального контексту

Treat attacker claims as potential deception until corroborated / Трактування заяв зловмисника як до потенційного обману, доки вони не будуть підтверджені

Treat reused TTPs, historical reporting, or familiar infrastructure patterns as conclusive attribution / Розгляд повторно використаних TTP, історичних звітів або знайомих шаблонів інфраструктури як переконливі атрибуції

Avoid naming a real-world actor as responsible unless legal/process evidence supports that conclusion / Уникнення називання відповідальною особи з реального світу, якщо цей висновок не підтверджується юридичними/процесуальними доказами.