СЕМЬ РОЛЕЙ КРИЗИСНОГО СОВЕТА

Координатор, Охотник, Форензик, Инженер, Голос, Арбитр и Директор — семь разных способов увидеть один инцидент.

Читайте свой класс целиком, у остальных — раздел «Как играть». Он короткий и объясняет, чего от соседа ждать и чего с него не спрашивать.

Обозначения:

---

КЛАСС 1 · КООРДИНАТОР

Директор по информационной безопасности. Человек, который отвечает за то, чего не может сделать сам.

ТЕХ −1 · АНАЛИЗ +2 · СВЯЗЬ +3 · НЕРВ +1 · ЁМКОСТЬ 3

Зоны мастерства: координация команды · приоритизация · эскалация руководству

Личный набор: Мандат совета — право потребовать любой ресурс. Отказ должен быть обоснован вслух.

---

Как играть

Вы не решаете задачи. Вы решаете, какие задачи решаются.

Ваш худший враг — желание залезть в консоль и «просто посмотреть самому». ТЕХ −1 стоит в вашем стат-блоке не потому, что вы неспособны, а потому, что каждый раз, когда вы это делаете, шесть человек остаются без управления. Инцидент, в котором координатор ушёл разбираться в логах, — это инцидент без координатора.

Практически ваша игра выглядит так: в начале блока вы вслух расставляете приоритеты, в течение блока следите, кто куда пошёл, и держите заряд «Общего канала» на тот бросок, который вот-вот уйдёт в Ложную Уверенность. Ваш вклад в исход почти целиком лежит в чужих бросках, и это правильно отражает должность.

Что вы обязаны делать вслух:

• называть приоритеты до заявок, а не после;
• спрашивать «насколько ты уверен», а не «что там»;
• фиксировать, кто отвечает за коммуникацию наружу — до того, как понадобится;
• говорить «это ждёт», когда что-то ждёт. Молчаливое откладывание — самая дорогая привычка вашей роли.

Ваш неочевидный ресурс — Мандат совета. Вы можете потребовать что угодно, и отказ должен быть обоснован вслух. Это работает не только на фасилитатора, но и на стол: попросите Форензика назвать степень уверенности в процентах. Он обязан ответить.

---

Способности

▪ Общий канал

реакция · 3 раза за игру · 1 ЁМКОСТЬ

Союзник провалил бросок на 1–4 ниже DC. Вы вмешиваетесь и перенаправляете — он перебрасывает.

Держите заряд на полосу, где провал уходит в Ложную Уверенность. Это ровно она: DC−1 … DC−4 — та самая полоса, в которой фасилитатор выбирает между «успех с ценой» и ложным результатом.

💡 Совет: объявляйте «Общий канал» до того, как фасилитатор передал приватный результат. После выдачи вы уже не отменяете ошибку задним числом.

Три заряда, три ЁМКОСТИ. Использовать все — значит остаться без ЁМКОСТИ к пятому блоку. Использовать один — значит везти на дебриф два лишних жетона и историю про то, как вы их берегли.

▪ Право подписи

1 раз за игру

Вы получаете любой ресурс мгновенно и без броска: внешний ретейнер, отключение продакшена, экстренная закупка, человек, вызванный из отпуска, инженер вендора на площадке через час вместо шести.

Цена: ПУБЛИЧНОСТЬ +1. Такие движения видны снаружи: контракт на реагирование подписывается не втайне, а остановка продакшена замечается клиентами за двадцать минут.

Это не «кнопка победы», это «кнопка обмена». Вы меняете один сегмент публичности на один пропущенный бросок в критический момент — и решение о том, какой момент критический, целиком ваше.

▪ Ступень 2 · Треугольник внимания

свободно, в начале блока

Назовите вслух три задачи в порядке приоритета. Пока никто не отклонился от этого порядка, вся команда получает +1 к броскам по первой из них.

Механика простая, эффект — нет. Три вещи, которые она делает:

1. Заставляет вас формулировать. Не «надо разобраться и локализовать», а «первое — понять, что на ключевом складе; второе — отрезать сегмент; третье — заготовить заявление».
2. Наказывает разброд. Если Инженер пошёл делать четвёртое, бонуса нет ни у кого. Стол это чувствует и начинает договариваться.
3. Даёт материал для дебрифа. В конце игры фасилитатор зачитает ваши семь троек подряд. Это самая честная запись того, чем команда на самом деле занималась.

⚠ Внимание: «не отклонился» проверяется по факту заявок. Если игрок заявил действие вне вашего списка — бонус на этот блок снимается для всех. Вы вправе переназвать тройку в следующем блоке, но не задним числом.

---

Специализации

▪ СТРАТЕГ

Вы играете вдолгую даже в кризисе.

Ступень 3 · Заложенный резерв — 1 раз за игру Объявите, что полгода назад вы настояли на одной конкретной мере. Фасилитатор обязан согласиться, но выбирает ограничение. Один трек готовности считается на +2 выше для одного броска.

Формулируйте конкретно: не «мы вкладывались в безопасность», а «я продавил внеполосную связь для кризисного совета после инцидента у конкурента». Чем конкретнее заявка, тем мягче ограничение, которое придумает фасилитатор.

Ступень 4 · Цена отсрочки — реакция · 1 раз за игру Когда команда явно откладывает конкретное решение до следующего блока, назовите вслух само решение и одно ожидаемое ухудшение. Фасилитатор фиксирует их. Если до конца следующего блока названное ухудшение наступило именно из-за отсрочки, каждый присутствующий персонаж получает по одному Вдохновению. На дебрифе вы можете получить один дополнительный Урок сверх обычного потолка. Если ухудшение не наступило или произошло по другой причине, заряд всё равно потрачен. Одну отсрочку нельзя отметить повторно.

Единственная способность в игре, которая награждает за то, что вы оказались правы в неприятном. Пользуйтесь без злорадства: фиксируется факт отсрочки, а не чужая некомпетентность.

▪ ДИПЛОМАТ

Вы говорите на шести языках, и ни один из них не технический.

Ступень 3 · Перевод — действие Возьмите результат чужого технического броска и переформулируйте его для не-технической аудитории. Следующий бросок СВЯЗЬ любого игрока по этой теме — с преимуществом.

Работает на связке с Голосом и Директором. Форензик сказал «мы не можем исключить доступ к сегменту клиентских данных» — вы превращаете это в предложение, которое можно произнести на совете директоров, и Голос выходит наружу с преимуществом.

Ступень 4 · Мост — 1 раз за акт Отмените один штраф, вызванный тем, что две роли не поговорили друг с другом.

Такие штрафы возникают сами: юрист не знал, что данные ушли; инженер отключил то, о чём коммуникации только что сказали «работает». Вы отменяете последствие, но не факт — разговор всё равно придётся провести.

▪ ВЕТЕРАН

Вы это уже видели. Дважды. Один раз плохо кончилось.

Ступень 3 · Дежавю — свободно, 1 раз за акт Спросите фасилитатора, напоминает ли текущая картина что-то из известных кампаний. Ответ честный, но только про рисунок поведения, не про факты.

Разница принципиальна. «Похоже на то, что заходит через доверенный канал и не спешит» — законный ответ. «У вас скомпрометирован поставщик обновлений» — нет. Вы получаете направление, а не решение.

Ступень 4 · Спокойный голос — пассивно Союзники в пределах вашей связи получают +1 к спасброскам НЕРВ на усталость.

Недооценённая вещь. На семерых за пять блоков это примерно два-три несостоявшихся уровня усталости, то есть два-три спасённых броска в финале.

---

Ступень 5 · Капстон · СОВЕТ

1 раз за игру

Объявите пятиминутное совещание. Каждый игрок называет одно наблюдение. Фасилитатор обязан подтвердить или опровергнуть одно из них по вашему выбору — честно и прямо, включая раскрытие жетона Ложной Уверенности.

Это самый мощный инструмент верификации в игре, и он единственный, который проходит через голоса всей команды. Держите его до момента, когда стол разошёлся в двух несовместимых гипотезах: пять минут совещания дадут вам твёрдую точку опоры, от которой можно строить остальное.

---

---

Типичные ошибки игрока за Координатора

1. Лезть в технику. ТЕХ −1 и никаких зон мастерства в этой области. Каждый ваш технический бросок — это худший бросок за столом плюс блок без координации. Если очень хочется — попросите Инженера и дайте ему преимущество.

2. Расставлять приоритеты после заявок. Треугольник внимания работает только в начале блока. Названный после того, как все объявили действия, он превращается в комментарий.

3. Копить «Право подписи» до последнего блока. В седьмом блоке ресурсы стоят дёшево: почти всё уже случилось. Правильный момент — блок 3 или 4, когда КАРТИНА ещё не заполнена, а решение уже нужно.

4. Спрашивать «что там?» вместо «насколько ты уверен?». Первый вопрос даёт вам чужой вывод. Второй — даёт вам чужую степень уверенности, и именно она отличает координатора от передатчика.

5. Молчаливо соглашаться с отсрочкой. «Ладно, разберёмся в следующем блоке» — фраза, которую вы должны произносить вслух и с ценой, а не проглатывать. Для этого и существует «Цена отсрочки».

📚 Отсюда это растёт: в разборах крупных инцидентов роль incident commander описывается одинаково: он не выполняет технических задач вообще. Формализованные схемы командования инцидентами (те же, что применяются пожарными и спасателями и заимствованные ИТ почти дословно) прямо запрещают командиру брать на себя исполнение. Причина не в иерархии, а в объёме внимания: человек, погрузившийся в задачу, физически перестаёт слышать остальные семь.

---

КЛАСС 2 · ОХОТНИК

Аналитик центра мониторинга. Видит больше всех и объясняет хуже всех.

ТЕХ +1 · АНАЛИЗ +3 · СВЯЗЬ −1 · НЕРВ +2 · ЁМКОСТЬ 3

Зоны мастерства: обнаружение и корреляция · разведка угроз · гипотезы о противнике

Личный набор: Личная лаборатория — проверка гипотезы без расхода ЁМКОСТИ один раз за акт.

---

Как играть

Три часа подряд вы будете отвечать «пока не могу сказать точно» людям, которым ответ нужен был пять минут назад.

Это не ваша неудача — это устройство работы. Учитесь говорить формулой из трёх частей:

«Вот что я знаю. Вот чего я не знаю. Вот когда узнаю».

Три предложения, каждый раз. Директор перестанет давить через два блока, потому что получит то, что ему на самом деле нужно, — не уверенность, а диапазон.

СВЯЗЬ −1 означает, что убеждать людей вы будете плохо. Не пытайтесь компенсировать это громкостью. Компенсируйте фактурой: ваш вывод убеждает не потому, что вы уверены, а потому, что вы называете, на чём он основан.

АНАЛИЗ +3 плюс мастерство +3 делает вас лучшим аналитиком за столом с большим отрывом. Пользуйтесь этим не для того, чтобы больше находить, а для того, чтобы находить раньше: сегмент КАРТИНЫ в первом блоке дороже трёх сегментов в пятом.

---

Способности

▪ Гипотеза

свободно · 1 раз за акт

Назовите вслух, что противник попытается сделать следующим. Фасилитатор отвечает честно.

• Угадали — вся команда получает +2 к следующим броскам против этого.
• Не угадали — вы получаете жетон Ложной Уверенности.

Строгое ограничение: только про намерение и только вперёд. Вопрос о факте или о текущем состоянии — это верификация, а она стоит действия и ЁМКОСТИ.

Законные формулировки:

• ✓ «Он попробует добраться до системы резервного копирования»
• ✓ «Следующим шагом он пойдёт в производственный контур»
• ✓ «Он начнёт выкачивать до того, как что-то сломает»

Незаконные:

• ✗ «Он уже в производственном контуре?» — это факт, а не намерение
• ✗ «Сколько у него закрепления?» — это состояние
• ✗ «Он вошёл через подрядчика?» — это прошлое

⚠ Внимание: цена ошибки высока и намеренно асимметрична. Промах даёт вам жетон Ложной Уверенности — то есть вы будете уверенно докладывать команде неверный прогноз. Гипотеза — это ставка, а не бесплатная разведка.

▪ Раскопки

1 раз за игру · 2 ЁМКОСТИ

Полный ретроспективный обход. Автоматический успех на одном действии АНАЛИЗ и +2 сегмента в КАРТИНУ.

Занимает два блока: следующий блок вы не действуете.

Две ЁМКОСТИ из трёх и два блока из семи. Это самое дорогое одиночное вложение, доступное игроку, и окупается оно только в одном случае — если вы запускаете его достаточно рано, чтобы результатом успели воспользоваться.

Раскопки в блоке 6 — это красивое расследование того, что уже произошло. Раскопки в блоке 2 — это два сегмента КАРТИНЫ, которые открывают вам ЗАКРЕПЛЕНИЕ противника из-под тумана войны.

▪ Ступень 2 · Базовая линия

действие · 1 ЁМКОСТЬ

Вы устанавливаете, как выглядит норма для одного участка. До конца игры все броски АНАЛИЗ по нему — с преимуществом.

Самое недооценённое действие в игре.

Аномалию нельзя увидеть, не зная нормы. Стол, который в первом блоке бросился «искать вредоносное», проведёт три блока в спорах о том, является ли ночная активность сервисной учётной записи странной. Стол, у которого есть базовая линия, ответит за секунду.

Выбирайте участок стратегически: складская система, через которую работают все одиннадцать распределительных центров, стоит дороже, чем отдельный завод.

📚 Отсюда это растёт: в реальном мониторинге доля времени, уходящая на выяснение «а это вообще нормально?», превышает время на собственно анализ. Профили нормального поведения, инвентаризация активов и понимание того, какие процессы у вас штатно ходят наружу, дают больший прирост к обнаружению, чем любое новое средство защиты, — и именно поэтому их всегда откладывают.

---

Специализации

▪ СЛЕДОПЫТ

Вы не ждёте алерта. Вы идёте искать.

Ступень 3 · Охота — действие Выберите одну технику и объявите, что ищете именно её. Бросок АНАЛИЗ против DC 16. Успех — узнаёте, применялась ли она, независимо от состояния КАРТИНЫ.

Обход тумана войны за один бросок. Формулируйте на уровне поведения, а не инструмента: «искал ли кто-то массово читал файлы сервисной учётной записью», «была ли активность в окне после планового обновления», «есть ли обращения к системе резервного копирования извне её расписания».

Ступень 4 · Второй проход — 1 раз за акт Перепроверьте участок, который команда уже считает чистым. Если противник там есть — обнаруживаете без броска.

Лучший ответ на любую фразу «здесь мы уже смотрели». Полезная привычка: применяйте на то, что проверяли раньше всего, — в первом блоке команда смотрит хуже всего, потому что ещё не знает, что искать.

▪ РАЗВЕДЧИК

Вы знаете, кто это, раньше, чем узнаете, как он вошёл.

Ступень 3 · Атрибуция — действие · 1 ЁМКОСТЬ Бросок АНАЛИЗ против DC 16. Успех — фасилитатор называет Дракона, чей рисунок вы видите. Это даёт таблицу его повадок, но не факты об этой атаке.

Ценность атрибуции здесь показана механически и честно: она не говорит, что случилось, она говорит, что случится дальше. Получив Дракона, вы получаете распределение его действий и знаете, чего ждать в следующих блоках.

⚠ Внимание: название Дракона — это гипотеза о рисунке поведения, а не личность и не доказательство. Распределённая или автоматизированная активность может дать смешанный результат; истолковать его всё равно придётся вам.

Ступень 4 · Прогноз — 1 раз за игру Назовите два действия. Противник не может использовать их в следующем блоке.

Не информация, а прямой запрет. Работает лучше всего, когда вы уже знаете Дракона: закройте два самых вероятных пункта его таблицы повадок, и он потратит блок на то, что вам менее опасно.

▪ ДЕТЕКЦИОННЫЙ ИНЖЕНЕР

Вы чините не инцидент, а то, почему его не увидели.

Ступень 3 · Правило — действие Напишите детект по уже увиденному. До конца игры этот тип активности обнаруживается автоматически, без броска.

Требует трека ЛОГИ 3 (SIEM). Без него писать правило некуда.

Единственная способность в игре, которая накапливает эффект: каждое написанное правило постоянно работает до конца сессии. Начинайте писать рано и по тому, что противник будет повторять, а не по разовому событию.

Ступень 4 · Обратная связь — пассивно Каждый раз, когда раскрывается жетон Ложной Уверенности, трек ЛОГИ считается на +1 выше до конца игры.

Ошибки команды делают вас сильнее. Механически это точная модель работы детекционного инженера: каждый пропущенный инцидент — это новое правило, и вся зрелость обнаружения построена на разборе провалов.

---

Ступень 5 · Капстон · ПОЛНАЯ КАРТИНА

1 раз за игру · 2 ЁМКОСТИ

Вы собираете разрозненное в одно. КАРТИНА немедленно +3 сегмента. Все жетоны Ложной Уверенности за столом раскрываются.

Второй эффект важнее первого. Три сегмента — это много, но раскрытие всех ЛУ разом останавливает игру и разворачивает её: команда узнаёт, что два часа действовала по неверной картине, и остаток сессии играет уже честно.

Правильный момент — когда стол принимает крупное необратимое решение (остановка производства, публичное заявление, платёж) на данных, которым вы не доверяете.

---

---

Типичные ошибки игрока за Охотника

1. Тратить «Гипотезу» на факты. «А он уже там?» — не гипотеза. Способность работает только вперёд и только про намерение, и попытка спросить о состоянии просто не засчитывается.

2. Копить информацию до полной уверенности. У вас её не будет никогда. Докладывайте по формуле «знаю / не знаю / когда узнаю» каждый блок, даже когда сказать почти нечего.

3. Начинать с атрибуции. Знать Дракона до того, как у вас есть базовая линия, — знать красивое имя без опоры. Атрибуция окупается с блока 3, не раньше.

4. Запускать «Раскопки» в шестом блоке. Два блока из семи. В шестом вы получите ответ на седьмом, когда решения уже приняты.

5. Спорить с Голосом о формулировках. Ваша работа — дать ему степень уверенности, его — превратить её в предложение. Спор об эпитетах съедает блок и портит обоих.

---

КЛАСС 3 · ФОРЕНЗИК

Расследователь. Единственный, кто может сказать «нет, оно всё ещё там». Обычно ему не верят до третьего раза.

ТЕХ +3 · АНАЛИЗ +2 · СВЯЗЬ −1 · НЕРВ +1 · ЁМКОСТЬ 3

Зоны мастерства: форензика · определение вектора · устранение закрепления

Личный набор: Полевой чемодан — блокиратор записи, носитель, набор для снятия образов. Улики не оспариваются.

---

Как играть

Ваша работа — говорить неприятное медленно.

Все хотят услышать «чисто» сейчас. Вы можете сказать «чисто» через шесть часов и с оговорками. Держите оговорки: каждый раз, когда вы их роняете ради того, чтобы совещание закончилось быстрее, вы создаёте ту самую уверенность, которая через два блока окажется ложной.

Вы — главный держатель истины за столом, и одновременно тот, кому меньше всех верят. СВЯЗЬ −1 ровно про это. Компенсируется не убеждением, а процедурой: не «я думаю, оно всё ещё там», а «мы проверили три из семи узлов, на двух нашли, седьмой не проверялся, потому что его нельзя выключать».

Ваш уникальный рычаг — «Верификация». Вы единственный, кто снимает чужой жетон Ложной Уверенности без броска. Пользуйтесь экономно: каждое применение — блок, не потраченный на устранение закрепления.

Осознайте главный конфликт роли заранее: расследовать и устранять одновременно нельзя. Всё, что вы вычищаете, уничтожает следы; всё, что вы аккуратно фиксируете, остаётся работать. Команда будет требовать и того и другого одновременно. Выбирайте вслух и называйте цену.

---

Способности

▪ Верификация

действие · 1 ЁМКОСТЬ

Раскрыть один жетон Ложной Уверенности у любого игрока. Броска не требует, если жетон не ваш.

Ваш главный рычаг. И каждое использование — блок, не потраченный на устранение.

Как понять, где ЛУ, не видя жетонов. Вы их не видите. Но вы видите поведение:

• кто-то доложил результат необычно уверенно;
• вывод слишком хорошо согласуется с удобной версией;
• два факта, названные разными людьми, не могут быть верны одновременно;
• вывод получен на бросок, который прозвучал как «ну, почти».

💡 Совет: прямо спросите за столом — «кто из вас говорил про это, и какой у тебя был бросок?». Игроки не обязаны отвечать честно про жетон, но обязаны отыгрывать уверенность. Человек, который не может назвать, на чём основан его вывод, — ваш кандидат.

▪ Чистая комната

1 раз за игру

Вы объявляете один сегмент доверенным. Противник не может продвигать в нём ЗАКРЕПЛЕНИЕ до конца игры.

Требует, чтобы Инженер в том же блоке потратил действие на изоляцию.

Единственная способность в игре, требующая согласованного действия двух игроков в одном блоке. Договаривайтесь на этапе заявок и вслух: «Инженер, мне нужна изоляция производственного контура в этом блоке, я объявляю его чистой комнатой».

Выбирайте сегмент по критерию «откуда мы будем восстанавливаться», а не «где сейчас больнее».

▪ Ступень 2 · Хронология

действие · 1 ЁМКОСТЬ

Выберите один участок. Броска нет, и Ложная Уверенность не возникает. Если данные существуют в доступном окне хранения, фасилитатор правдиво называет точное время первой видимой активности противника на этом участке.

Одно из двух мест в игре, где выдаётся гарантированная правда. Ограничение — глубина трека ЛОГИ:

⚠ Внимание: если присутствие началось раньше окна, ответ должен звучать так: «активность уже есть в самой старой доступной записи; истинное начало раньше и по этим данным не определяется».

---

Специализации

▪ ПАТОЛОГОАНАТОМ

Память и диск. Вы читаете то, что уже умерло.

Ступень 3 · Дамп памяти — действие · 1 ЁМКОСТЬ Бросок ТЕХ против базового DC 16. Успех — обнаруживаете активные процессы, сетевые соединения и исполняемый код в памяти одного выбранного узла, включая бесфайловую активность; зашифрованные или уже выгруженные данные это не восстанавливает.

При ЛОГАХ 3 итоговый DC остаётся 16; с ТЕХ +3 и мастерством +3 вам нужно выбросить 10 на кубике. Это ваш самый надёжный источник твёрдых фактов.

Ограничение очевидное и жёсткое: один узел. Выбор узла — и есть содержание способности. Спросите Инженера про архитектуру прежде, чем выбирать.

Ступень 4 · Артефакт — 1 раз за акт Найдите одну улику, которую противник считал уничтоженной. Часы ВЫГРУЗКА фиксируются: их нельзя продвигать один блок.

Двойной эффект — факт плюс тормоз. Лучший момент — когда ВЫГРУЗКА близка к заполнению и вам нужен блок, чтобы успеть отрезать канал.

▪ ХРОНИСТ

Вы отвечаете на самый дорогой вопрос: «с какого момента?»

Ступень 3 · Нулевой день — 1 раз за игру · 2 ЁМКОСТИ Установите истинную дату первоначального доступа. Фасилитатор обязан назвать её точно.

В большинстве сценариев это самое разрушительное знание в игре.

Разрушительное — потому что от даты первоначального доступа зависит всё остальное: объём уведомления регулятора, какие бэкапы считаются чистыми, сколько месяцев отчётности нужно перепроверить, и — очень часто — что «инцидент недельной давности» на самом деле идёт девятый месяц.

Требует трека ЛОГИ 4 (годичное хранение), чтобы работать без ограничений по глубине.

Ступень 4 · Полный охват — пассивно Ваши броски на определение объёма компрометации никогда не дают Ложную Уверенность.

Тихая, скучная и очень сильная способность. Вопрос «сколько записей затронуто» — тот, на который команда обязана ответить регулятору, и ошибка в нём стоит дороже почти любой другой.

▪ РЕВЕРСЕР

Вы разбираете инструмент противника на части и узнаёте руку.

Ступень 3 · Разбор — действие · 1 ЁМКОСТЬ Изучите образец. Узнаёте одно следующее действие противника. Первый бросок команды, который прямо предотвращает или устраняет эффект этого действия, получает +2.

Требует, чтобы образец был. Если команда всё вычистила, не сохранив, вам нечего разбирать — и это отдельный разговор, который стоит провести на дебрифе.

Ступень 4 · Отпечаток — 1 раз за игру Определите, что противник использует переиспользуемый инструмент. Трек, соответствующий его домену, считается на +2 выше до конца игры.

Плюс два к треку — это минус два к DC всех бросков в этой области на остаток игры. Эффект уровня «докупили два уровня готовности задним числом».

---

Ступень 5 · Капстон · ВСКРЫТИЕ

1 раз за игру · 3 ЁМКОСТИ

Полное восстановление цепочки. Вы получаете правду о векторе, закреплении и объёме — целиком и без броска.

Занимает два блока. Стоит всю вашу ЁМКОСТЬ.

После этого вы — пассажир: без ЁМКОСТИ вам недоступны Верификация, Хронология, Дамп памяти и всё остальное, что стоит жетонов. Вы обменяли остаток своей игры на полную правду.

Иногда это единственно верный обмен. Обычно — в блоке 4, когда стол собирается принимать решение, которое нельзя отыграть назад.

---

---

Типичные ошибки игрока за Форензика

1. Сказать «чисто». Никогда не говорите «чисто». Говорите «на проверенных узлах не нашли, не проверены такие-то». Слово «чисто» стоит команде трёх блоков ложного спокойствия, а вам — репутации.

2. Тратить всю ЁМКОСТЬ на верификацию. Три жетона. Верификация, Хронология и Дамп памяти стоят по одному каждая. Планируйте на всю игру, а не на текущий блок.

3. Устранять до того, как зафиксировали. Вычистили — потеряли следы. Иногда это правильное решение (когда часы горят), но оно должно быть решением, названным вслух, а не побочным эффектом усердия.

4. Молчать, пока не будет уверенности. Ваша уверенность придёт в блоке 6. Решения принимаются в блоке 3. Говорите частично и с оговорками.

5. Обижаться, что не верят. Не верят всегда и всем. Вы держите оговорки не для того, чтобы вам поверили, а для того, чтобы через два часа оговорки оказались записаны.

📚 Отсюда это растёт: порядок сбора данных по степени волатильности (сначала оперативная память и сетевые соединения, потом диск, в последнюю очередь архивы) закреплён в отраслевых рекомендациях по обращению с цифровыми доказательствами. Причина в том же конфликте: любое действие по восстановлению уничтожает данные для расследования, а любая задержка ради расследования продлевает простой. Формальное правило существует именно потому, что в момент решения на него не хватает времени.