расследование инцидента в области ИБ

Был взлом корпоративной сети (домена). Нужно найти как и с помощью каких инструментов взломали. Интересно найти внешний IP с которого шла атака.