Тут коллеги что-то стали часто спрашивать как найти источник утечки собственных баз данных. Попробую уложить это в простой универсальный алгоритм состоящий из трех простых шагов.

1. Поскольку чаще всего об утечке мы узнаем пост-фактум, когда она уже появляется на чёрном рынке начнём с простого - исследования того, в каком виде она попала в публичное поле. На что стоит обратить внимание:

Канал распространения:
- Место публикации утечки
- Дата и время публикации
- Кто опубликовал
- Кошелёк для покупки (если платно)

Для чего?
Для поиска места первоначального размещения и идентификации выгодоприобретателя.

Файл в который упакована утечка:
- Формат файла
- Метаданные полученного файла.
- Даты создания и изменения.
- Хэш сумма файла.

Для чего?
Для идентификации файлов в различных источниках, возможные паттерны изменения в зависимости от миграции и сравнения разных версий.

Содержимое файла:
- Используемые поля
- Формат их записи
- Полнота присутствующих полей
- Дата/время первой записи
- Дата/время последней записи

Для чего?
Для получения информации о "срезе" данных их полноте и возможно времени получения "среза"

2. Исследуем легитимный источник данных находящийся в утечке. Со следующими точками интереса:

- Основной формат хранения данных
- Возможные форматы получения данных при условии различных условиях их копирования (бэкап, экспорт, парсинг и т.д.)

Для чего?
Для поиска возможно способа и формы полученной утечки.

- Перечень уровней доступа.
- Перечень доступных полей для каждого уровня доступа.
- Перечень пользователей с доступом к утекшим данных.

Для чего?
Для фиксации возможных причастных аккаунтов пользователей и способов доступа к данным в срезе.

- Фиксация временного отрезка по полноте данных в утечке.

Для чего?
Для формирования временных рамок поискового ландшафта. Как правило, отсчёт ведётся в обратном порядке от момента первичного размещения в публичном поле  до  (примерно) минус 60 суток от даты последних внесённых данных в "срезе"
- Логи доступа к целевым данным пользователей
- Логи изменений в целевом источнике данных.

Для чего?
Для реконструкции истории обращений к источнику целевых данных.

3. Фиксация аномалий в поведенческих паттернах пользователей. Определение пользователей и каналов их взаимодействия с целевым источником данных.

Ну а про инструментарий мы поговорим чуть позже на @forensictools :)