Проблема: законную учётную запись могут использовать посторонние
Если злоумышленник получил пароль, сессию или ключ доступа, журнал может показать вход обычного пользователя. Успешная аутентификация — наблюдение, а не доказанная компрометация. Необычный адрес или время тоже лишь повод для проверки: их могут объяснить поездка, удалённая работа или общая сеть.
Решение: связать вход с последующими действиями
Установите учётную запись, способ входа, источник, устройство и время. Сопоставьте доступные события системы идентификации, приложения, VPN и устройства. После входа проверьте изменения способов аутентификации, прав, API-ключей и доступ к чувствительным ресурсам. Фиксируйте конкретные события, часовой пояс, срок хранения и пробелы журналов.
Сдержать риск и сохранить доказательства
При убедительных признаках активного злоупотребления сдерживание может идти одновременно с сохранением данных. Свяжитесь с владельцем учётной записи по доверенному каналу, привлеките ответственного за инцидент и определите, нужно ли отзывать сессии, токены или ключи. Одна смена пароля может не завершить все действующие сессии: проверяйте поведение конкретного сервиса.
Что передать следующей смене
Отделите подтверждённые действия от гипотез. Укажите, какие журналы недоступны, как сдерживание влияет на работу и кто отвечает за следующую проверку. Не помещайте в карточку пароли и лишние персональные данные. Вывод «признаков не найдено» относится только к реально проверенным источникам и периоду.