Т.е. как не крутись, а без магги не обойтись... так, это другая реклама. Без отдельного человека к песочнице.

Но это дешевле, чем форензик)

Не отдельного человека, а экспертизы. Это может быть и внешняя экспертиза (партнёра/вендора), есть куча компаний, которые incident response помогают делать.

И это дешевле форензики обычно (Стёпа и Лёша поправят, если я ошибаюсь)

вот тут-то надо и посчитать... купи песочницу, продлевай лицензию, а еще купи услугу, чтобы кто-то за тебя с ней работал.

что-то подсказывает, что с услугами форензики это может быть сопоставимо

Ээээээ

Песочница это поток в десятки/сотни тысяч файлов в сутки

Макдональдс

Нет))))
Песочку ты в любом случае купишь)

черт... как же этот мир несовершенен, то ли дело моя собственная реальность.

Всем спасибо за ответы. Ситуация мне теперь стала ясна чуть лучше.

Вы укажите, что под форензикой подразумеваете

Потому что тут кто-то верно сказал про уровни зрелости - если надо разобраться - кто, как, зачем - и надо глубоко копать - то целый комплекс мероприятий и все сильно дороже песочки выйдет. Большинству хватит отбить атаку без долгого разбора. И тут очень хорошо песочка и помогает, отбивая большую часть массовой вирусни

Зачем разбор? Дашборд показал события об отраженных атаках и уже хорошо😆

Если глубоко копать - с разбором конкретной малвари, восстановлением полной картины атаки, разбором образов нескольких пострадавших систем - то это мероприятие и достаточно долгое, и не самое дешевое - несколько таких расследований может потянуть на стоимость годовой поддержки песочки.
Инхаус в большинстве случаев глубокая форензика нафик не нужна, хватит энтерпрайз-уровня, который хорошо автоматизируется через, к примеру, тот же Encase энтерпрайзный (ток стоит как чугунный мост и пригоден ток для внутренних расследований, в суд если что, с ним не пойдешь)

Да ладно, это не так тяжело чтобы столько стоить

Разбор он тоже разный.
Отловить малварь и прогнать через свою дополнительную кукуху для получения хэшей ip и прочей такой халабуды - это форензика чтоли? ))

Нет конечно, но вопрос в ее необходимости

Это вчера все обсудили, вы на второй круг пошли