Когда компанию взломали, деньги ушли со счетов или из базы утекли данные клиентов, приходит специалист, который восстанавливает картину по цифровым следам: кто зашёл, что забрал, каким путём двигался и что удалил за собой. Этого человека называют форензиком (от английского digital forensics, цифровая криминалистика). Его отчёт ложится в основу иска, увольнения или уголовного дела, поэтому каждый шаг фиксируется так, чтобы выдержать проверку в суде.
Форензика — одна из самых дефицитных специализаций в информационной безопасности: по требованиям закона о критической инфраструктуре расследовать инциденты обязаны всё больше организаций, а специалистов, умеющих это делать грамотно, единицы. Отсюда и доход: от 80 000 ₽ на старте до 300 000–450 000 ₽ у ведущих DFIR-экспертов в банках и интеграторах. Разберём простыми словами, чем форензик отличается от пентестера и SOC-аналитика, какие бывают специализации и инструменты, как проходит расследование и что нужно, чтобы войти в профессию. Цифры по зарплатам и спросу взяты из вакансий и обзоров рынка кибербезопасности за 2026 год.
Если тема защиты цифры для вас в целом новая, начните с базовой картины: онлайн-курсы по кибербезопасности дают тот фундамент по сетям и операционным системам, без которого в форензику идти рано.
КурсыСравнение 59 курсов по кибербезопасностиЦены, школы, длительность, рассрочка
Кто такой форензик простыми словами
Форензик — это цифровой криминалист, который расследует уже случившиеся инциденты: взломы, утечки, заражения вирусами, действия недобросовестных сотрудников. Он извлекает данные из скомпрометированных компьютеров, серверов и телефонов, восстанавливает удалённые файлы, читает журналы событий и по крупицам собирает доказательную базу. Задача не просто понять, что произошло, но и зафиксировать это юридически чисто, чтобы результат приняли следствие и суд.
Ключевое слово в профессии — «после». Пока система работает штатно, форензик не нужен. Он приходит, когда защита уже дала сбой, и работает с последствиями: реконструирует цепочку атаки, определяет масштаб ущерба и отвечает на главный вопрос расследования — кто, как и что именно сделал. Это роднит форензика с обычным следователем, только место преступления у него цифровое, а уликами служат дампы памяти, метаданные и записи в реестре Windows.
Простая аналогия. Пентестер — это охранник, который до ограбления проверяет, где можно перелезть через забор. Форензик — детектив, который приезжает уже после и по отпечаткам восстанавливает, как вор попал внутрь.
Форензик vs пентестер, SOC-аналитик и судебный эксперт — в чём разница
Форензика легко спутать с соседними ролями в кибербезопасности, потому что все они работают с угрозами и инцидентами. Но точка приложения сил у каждого своя: одни защищают до атаки, другие ловят её в моменте, третьи разбирают завалы после. Именно вопрос «чем форензик отличается от пентестера» задают чаще всего, поэтому начнём с наглядного сравнения.
| Специалист | Когда работает | Главная задача | С чем работает | Аналогия |
|---|---|---|---|---|
| Форензик | После инцидента | Собрать доказательства и восстановить цепочку атаки | Диски, дампы памяти, логи, метаданные | Детектив на месте преступления |
| Пентестер | До атаки | Найти уязвимости раньше злоумышленника | Приложения, сети, инфраструктура | Взломщик по контракту |
| SOC-аналитик | Во время атаки | Заметить угрозу в моменте и поднять тревогу | SIEM, потоки событий, алерты | Оператор системы наблюдения |
| Специалист по ИБ | Постоянно | Выстроить и поддерживать защиту в целом | Политики, средства защиты, доступы | Начальник службы безопасности |
| Судебный эксперт | По запросу следствия | Дать заключение с юридической силой | Любые доказательства, включая физические | Эксперт в суде |
На практике границы размываются. Крупные команды объединяют форензику и реагирование в одну дисциплину под названием DFIR (Digital Forensics and Incident Response). Такой специалист одновременно тушит пожар и фотографирует улики: останавливает атаку и тут же аккуратно снимает доказательства, чтобы не затереть их в спешке. О том, как устроена вся отрасль вокруг форензики, мы подробно рассказали в разборе про специалиста по кибербезопасности.
Чем занимается форензик: основные задачи
Работа форензика — это не один навык, а связка из технической экспертизы, аккуратности и юридической дисциплины. В типичный круг обязанностей входят такие задачи:
- Снятие цифровых образов. Побитовое копирование дисков и дампов оперативной памяти с хеш-суммой, чтобы оригинал остался нетронутым, а копия была доказуемо идентичной.
- Восстановление удалённых данных. Файлы, переписки, история браузера и следы запуска программ, которые злоумышленник пытался стереть.
- Анализ артефактов операционной системы. Реестр Windows, журналы событий, Prefetch, NTFS-метки времени, в Linux — syslog, auth.log и история команд.
- Разбор сетевого трафика. PCAP-дампы и логи, чтобы найти каналы управления, точки утечки и адреса, куда уходили данные.
- Реконструкция таймлайна атаки. Пошаговая хронология: когда вошёл, что запустил, куда двигался, что вынес.
- Анализ вредоносного кода. Определение, что делала программа, какие данные собирала и с какими серверами связывалась.
- Соблюдение цепочки хранения доказательств. Документирование каждого действия с уликой, чтобы отчёт выдержал проверку в суде.
- Подготовка отчётов. Технический документ с индикаторами компрометации и рекомендациями плюс короткое резюме для руководства.
КурсыСравнение 120 курсов по информационной безопасностиЦены, школы, длительность, рассрочка
Ваня Буявец, основатель CheckroiПоказываю, как применять Claude Code, ChatGPT и другие нейросети в учёбе и работе, с примерами и промптамиЧитать в ТелеграмеСпециализации форензики
Внутри профессии специалисты обычно тяготеют к одному-двум направлениям по типу источника данных, с которым интереснее и привычнее работать. Универсал, одинаково сильный во всём, встречается редко и ценится дороже.
| Специализация | С чем работает | Ставка в месяц | Кому подходит |
|---|---|---|---|
| Дисковая форензика | Жёсткие диски, файловые системы, удалённые данные | 120 000–200 000 ₽ | Любит методично копаться в данных |
| Форензика памяти | Дампы ОЗУ, живые процессы, инъекции в память | 150 000–250 000 ₽ | Тянет к глубокой технике и внутренностям ОС |
| Сетевая форензика | Трафик, PCAP, сетевые логи | 140 000–230 000 ₽ | Разбирается в сетях и протоколах |
| Мобильная форензика | Смартфоны, мессенджеры, приложения | 130 000–220 000 ₽ | Знает мобильные ОС и их защиту |
| Анализ вредоносов | Малварь, реверс-инжиниринг кода | 180 000–300 000 ₽ | Готов разбирать программы по байтам |
| Финансовый форензик | Транзакции, корпоративные расследования, мошенничество | 100 000–200 000 ₽ | Совмещает финансы, право и аналитику |
Последнее направление стоит особняком: финансовая форензика ближе к аудиту и корпоративной разведке, чем к анализу вредоносов. Там расследуют мошенничество, вывод активов и конфликты интересов внутри компаний. Технически проще, но требует сильного бэкграунда в финансах и юриспруденции.
6 главных инструментов форензика
Инструментарий подбирают под источник данных и требования к отчёту: где-то хватает бесплатных открытых утилит, где-то нужен коммерческий комбайн с сертификацией под суд. Базовый набор, который встречается почти в каждом расследовании:
| Инструмент | Для чего | Тип |
|---|---|---|
| Autopsy + The Sleuth Kit | Анализ образов дисков, восстановление удалённых файлов | Открытый |
| Volatility 3 | Разбор дампов оперативной памяти, поиск следов в процессах | Открытый |
| Magnet AXIOM / FTK / EnCase | Комплексные расследования, отчёты судебного уровня | Коммерческий |
| Wireshark + Zeek | Анализ сетевого трафика и PCAP-дампов | Открытый |
| KAPE / Velociraptor | Быстрый сбор артефактов с одного или сотен хостов | Открытый |
| YARA + Ghidra | Сигнатуры вредоносов и реверс-инжиниринг кода | Открытый |
Многие начинают со сборки SIFT Workstation, бесплатного дистрибутива Linux с уже установленными форензик-утилитами. Он снимает головную боль с настройкой окружения и позволяет сразу тренироваться на учебных образах.
Как проходит расследование инцидента
За внешней романтикой «цифрового детектива» стоит строгая процедура. Спешка на любом этапе может уничтожить улику, поэтому форензик работает по протоколу, где порядок действий важнее скорости. Вот как выглядит типичное расследование серьёзного взлома.
Этап 1. Триаж — минуты и часы
Быстрая оценка: активна ли ещё атака, какие системы затронуты, насколько критичны скомпрометированные данные. На этом шаге решают, что тушить в первую очередь и какие устройства трогать нельзя до снятия образа.
Этап 2. Сбор и фиксация доказательств — часы
Первым делом снимают дамп оперативной памяти: он исчезнет при выключении, а там живут пароли, ключи и активные процессы вредоноса. Затем делают побитовый образ дисков с хеш-суммой и выгружают логи. Каждое действие заносят в протокол цепочки хранения.
Этап 3. Локализация и сдерживание — часы
Заражённые хосты изолируют от сети, блокируют каналы управления злоумышленника, сбрасывают скомпрометированные учётные записи. Важно сделать это после снятия улик, иначе часть доказательств потеряется.
Этап 4. Глубокий анализ — дни и недели
Самая долгая часть. Форензик строит супер-таймлайн активности файлов, изучает артефакты реестра, раскладывает действия атакующего по матрице MITRE ATT&CK и восстанавливает полную цепочку: от первого проникновения до кражи данных.
Этап 5. Отчёт
Итог оформляют в двух документах: технический отчёт с индикаторами компрометации и рекомендациями по защите (для инженеров) и сжатое резюме для руководства, следствия или суда.
Между этапами есть невидимая часть работы: сверка версий с коллегами, повторные прогоны утилит для контроля, оформление доказательств так, чтобы через полгода их принял суд. Львиная доля времени уходит не на «взлом», а на аккуратную документацию.
Что должен знать и уметь форензик
Форензика стоит на стыке трёх областей: глубокой техники, следовательской логики и юридической аккуратности. Провал в любой из них обесценивает работу: блестящий технический анализ без правильного оформления не примут в суде.
Профессиональные знания
- Операционные системы на уровне внутренностей: реестр, журналы и файловые системы Windows, логи и структуры Linux.
- Сети и протоколы: TCP/IP, DNS, разбор трафика в Wireshark.
- Тактики атакующих: матрица MITRE ATT&CK, основы реверс-инжиниринга.
- Программирование: Python для разбора артефактов, PowerShell для автоматизации в Windows.
- Право: цепочка хранения доказательств, 187-ФЗ о критической инфраструктуре, 152-ФЗ о персональных данных, статьи 272–274 УК РФ.
Личные качества
- Внимание к деталям. Одна пропущенная метка времени способна развалить всю хронологию.
- Терпение. Расследование — это дни рутины, а не эффектный монтаж из фильма.
- Следовательское мышление. Умение выдвигать версии и проверять их фактами, а не догадками.
- Стрессоустойчивость. Форензик выходит на сцену, когда у бизнеса уже пожар и все нервничают.
Неочевидный навык, который отличает сильного специалиста, это умение объяснять сложное простым языком. Отчёт читают юристы и топ-менеджеры, далёкие от дампов памяти, и от ясности формулировок зависит, поверят ли выводам.
Этика и закон: почему в форензике нельзя ошибаться
Форензик работает с доказательствами, у которых есть юридический вес, поэтому профессия жёстко завязана на процедуры. Главный принцип здесь — цепочка хранения доказательств (chain of custody): фиксируется, кто, когда и что делал с уликой на каждом шаге. Стоит один раз нарушить порядок, и результат многомесячного анализа суд отклонит.
- Работать только с копиями, оригинал не трогать — все выводы делаются на побитовом образе с проверенной хеш-суммой.
- Документировать каждое действие — что сделал, чем, во сколько и с каким результатом.
- Соблюдать законность доступа — исследовать можно только то, на что есть правовые основания.
- Хранить конфиденциальность — в руках форензика оказываются самые чувствительные данные компании.
- Оставаться объективным — задача установить факты, а не подтвердить удобную версию заказчика.
Важный нюанс. Ответственность здесь не метафора: за подложное или небрежное заключение специалист может ответить лично, вплоть до уголовной статьи. Поэтому в форензике ценят не скорость, а доказуемость каждого вывода.
Плюсы и минусы профессии форензика
Форензика — не универсальный вход в кибербезопасность, а специализация с высоким порогом и высокой отдачей. Взвесим за и против.
Плюсы:
- Высокий доход и дефицит кадров — квалифицированных форензиков на рынке заметно меньше, чем вакансий.
- Интеллектуально захватывающая работа — каждое расследование это новая головоломка без готового решения.
- Значимость — от выводов зависят реальные деньги, репутации и судебные дела.
- Растущий спрос по закону — требования к расследованию инцидентов в критической инфраструктуре расширяются.
- Гибкий вход — прийти можно из SOC, системного администрирования, ИБ или даже финансов.
Минусы:
- Высокий порог входа — нужна серьёзная база по ОС, сетям и праву ещё до старта.
- Большая ответственность — цена ошибки в оформлении доказательств измеряется исходами дел.
- Нет единой программы обучения — путь собирают из курсов, практики и самообразования.
- Стресс и ненормированность — инциденты не выбирают удобное время.
- Много рутины — эффектный результат прячется за днями кропотливого анализа.
Профессия подходит тем, кто любит докапываться до сути, спокойно относится к рутине и не боится ответственности. И не подойдёт тем, кому нужен быстрый вход в IT с мгновенным результатом.
Канал основателя Checkroi Вани БуявцаПоказываю тебе, как публично строю Checkroi с нейросетями и делюсь цифрами, провалами и тем, что сработалоПодписатьсяСколько зарабатывает форензик
Диапазон широкий: от 80 000 ₽ у стажёра до 300 000–450 000 ₽ у senior DFIR-специалистов и руководителей форензик-практик в крупных банках и интеграторах. Джуниор в команде реагирования стартует примерно с 120 000–160 000 ₽, middle с реальным опытом расследований выходит на 200 000–280 000 ₽.
Выше всего платят за редкие связки: форензика памяти плюс реверс вредоносов, либо форензика плюс расследование целевых атак. Финансовые форензики в среднем зарабатывают скромнее коллег из чистой кибербезопасности, зато у них шире выход в корпоративную безопасность и консалтинг.
Подробные вилки по грейдам, городам и источникам дохода в смежной отрасли мы собрали в разборе зарплат специалиста по кибербезопасности: форензик движется по той же шкале, но обычно на ступень выше за счёт узости специализации.
КурсыСравнение 2 курсов для forensicsЦены, школы, длительность, рассрочка
Как стать форензиком
Отдельного диплома «форензик» не существует. Два реальных пути: получить базу по информационной безопасности (профильный вуз или онлайн-курсы на 12–13 месяцев за 90 000–140 000 ₽), а затем нарастить форензик-специализацию через практику, CTF и профильные курсы. Второй маршрут — прийти из смежной роли: SOC-аналитик или системный администратор доучивают форензику быстрее всего, ведь фундамент по ОС и сетям у них уже есть. С полного нуля реалистично выйти на джуниор-позицию за 1,5–2 года системной подготовки.
Пошаговую карту входа в отрасль, чек-листы выбора программы и разбор ошибок новичков мы собрали в отдельной статье про то, как стать специалистом по кибербезопасности с нуля: форензика начинается ровно с этого фундамента.
Где учиться на форензика
Прямой путь в форензику лежит через сильную базу по информационной безопасности: сети, операционные системы, основы защиты и реагирования. Ниже собрана подборка онлайн-курсов, с которых логично начать; после них добирают форензик-инструменты на практике.
| Курс | Школа | Стоимость со скидкой | В рассрочку | Длительность | Обзор курса от Checkroi |
|---|---|---|---|---|---|
| Кибербезопасность Перейти на сайт курса |  Нетология | 200 000 ₽ | 465 ₽/мес. | 24 месяца | Обзор курса |
| Онлайн-магистратура МИФИ "Информационная безопасность" Перейти на сайт курса |  SkillFactory | 225 ₽ | 225 ₽/мес. | 24 месяца | Обзор курса |
| Информационная безопасность (Бакалавриат) Перейти на сайт курса |  Синергия | 440 000 ₽ | 36 667 ₽/мес. | 4 years | Обзор курса |
| Профессия «Специалист по кибербезопасности» Перейти на сайт курса |  Skillbox | 178 533 ₽ | 4606 ₽/мес. | 12 месяцев | Обзор курса |
| ДО Кибербезопасность и приложения на Python Перейти на сайт курса |  Skillbox Kids | 74 400 ₽ | 250 000 ₽/мес. | Обзор курса | |
| Кибербезопасность + ИИ для детей Перейти на сайт курса |  Академия ТОП | Бесплатно | 4480 ₽/мес. | 6 месяцев | Обзор курса |
| Специалист по кибербезопасности - курс переподготовки Перейти на сайт курса |  АПОК | 32 980 ₽ | 2748 ₽/мес. | 400 часов | Обзор курса |
| Информационная безопасность компании. Повышение квалификации Перейти на сайт курса |  МБШ | 23 900 ₽ | 23 900 ₽/мес. | Обзор курса | |
| Кибербезопасность в информационных системах Перейти на сайт курса |  МИТУ | 45 000 ₽ | 7500 ₽/мес. | Обзор курса | |
| Информационная безопасность - курс переподготовки Перейти на сайт курса | АПОК | 32 980 ₽ | 5496 ₽/мес. | 256 часов | Обзор курса |
Больше программ — в полном каталоге курсов по информационной безопасности
Главное о профессии форензик
Форензик — цифровой криминалист, который приходит после инцидента и по следам восстанавливает картину взлома: кто зашёл, что забрал и как двигался. От пентестера его отличает время работы (после атаки, а не до), а от SOC-аналитика отличает глубина: не заметить угрозу, а доказать её юридически чисто. Профессия стоит на стыке техники, следствия и права, и ошибка в оформлении доказательств обесценивает даже блестящий анализ.
Это дефицитная и хорошо оплачиваемая специализация: от 80 000 ₽ на старте до 300 000–450 000 ₽ у ведущих экспертов, с высоким порогом входа и растущим спросом по требованиям закона. Войти можно из ИБ, SOC, администрирования или финансов, но в любом случае через прочный фундамент по сетям, операционным системам и правовым процедурам расследования.
