NetworkEasyFree

One Big Session

Company: Nur Integrator LLP

35 min7 questions105 pointsMITRE ATT&CK:T1041T1567

Briefing

Nur Integrator LLP is an IT services company. The internet link was nearly saturated in the evening, although the working day was over. The day's connection export was handed to you.

Nothing subtle is needed here: this is an arithmetic task. Ordinary office sessions are tens and hundreds of kilobytes. You are after what is orders of magnitude larger, and what share of all outbound traffic it represents.

The records carry time, addresses, port and volume in bytes. The internal network sits in a single range; everything else is external.

Artifacts

The same data as files for real tools: open in Wireshark or Excel, or load into Elastic. The answers match — it is the same data.

traffic.pcap· Wireshark, tcpdump

Frames in the PCAP are truncated at capture to 96 bytes, as on a real perimeter: headers are enough for analysis and the on-wire length is genuine, so volumes in Statistics → Conversations match the table.

222 connections

			Protocol		Details
2026-02-23T04:05:59Z	10.90.8.29:59198	203.0.113.20:443	tcp/ssl	2 977 ↑ 15 629 ↓	TLS · обновления ОС · 5 s
2026-02-23T04:07:49Z	10.90.8.77:52501	203.0.113.20:443	tcp/ssl	9 701 ↑ 71 144 ↓	TLS · обновления ОС · 15 s
2026-02-23T04:11:29Z	10.90.8.18:64006	203.0.113.20:443	tcp/ssl	6 065 ↑ 54 584 ↓	TLS · обновления ОС · 3 s
2026-02-23T04:12:47Z	10.90.8.84:54774	192.0.2.41:80	tcp/http	9 044 ↑ 41 202 ↓	HTTP · проверка доступности сети · 13 s
2026-02-23T04:14:04Z	10.90.8.77:63245	192.0.2.41:80	tcp/http	3 965 ↑ 22 471 ↓	HTTP · проверка доступности сети · 16 s
2026-02-23T04:17:53Z	10.90.8.53:53632	203.0.113.20:443	tcp/ssl	49 706 ↑ 226 436 ↓	TLS · обновления ОС · 8 s
2026-02-23T04:18:43Z	10.90.8.53:55424	203.0.113.21:443	tcp/ssl	72 807 ↑ 355 470 ↓	TLS · почтовый клиент · 13 s
2026-02-23T04:32:53Z	10.90.8.18:63955	192.0.2.41:80	tcp/http	18 548 ↑ 166 931 ↓	HTTP · проверка доступности сети · 13 s
2026-02-23T04:34:35Z	10.90.8.29:50857	203.0.113.20:443	tcp/ssl	28 811 ↑ 331 332 ↓	TLS · обновления ОС · 13 s
2026-02-23T04:35:23Z	10.90.8.53:56744	192.0.2.40:443	tcp/ssl	21 242 ↑ 120 373 ↓	TLS · видеоконференции · 14 s
2026-02-23T04:36:44Z	10.90.8.105:52929	192.0.2.41:80	tcp/http	43 110 ↑ 210 476 ↓	HTTP · проверка доступности сети · 23 s
2026-02-23T04:37:08Z	10.90.8.77:61248	203.0.113.20:443	tcp/ssl	7 724 ↑ 56 643 ↓	TLS · обновления ОС · 2 s
2026-02-23T04:40:34Z	10.90.8.92:57935	192.0.2.41:80	tcp/http	415 ↑ 1 889 ↓	HTTP · проверка доступности сети · 3 s
2026-02-23T04:42:35Z	10.90.8.41:56729	192.0.2.41:80	tcp/http	27 299 ↑ 276 022 ↓	HTTP · проверка доступности сети · 2 s
2026-02-23T04:42:43Z	10.90.8.92:62287	203.0.113.22:443	tcp/ssl	33 110 ↑ 203 387 ↓	TLS · корпоративный портал · 16 s
2026-02-23T04:43:36Z	10.90.8.84:49193	203.0.113.20:443	tcp/ssl	36 140 ↑ 204 791 ↓	TLS · обновления ОС · 23 s
2026-02-23T04:43:37Z	10.90.8.53:51675	203.0.113.21:443	tcp/ssl	27 569 ↑ 156 225 ↓	TLS · почтовый клиент · 4 s
2026-02-23T04:45:30Z	10.90.8.105:59463	203.0.113.21:443	tcp/ssl	86 349 ↑ 393 367 ↓	TLS · почтовый клиент · 23 s
2026-02-23T04:46:20Z	10.90.8.29:51520	203.0.113.22:443	tcp/ssl	7 981 ↑ 38 966 ↓	TLS · корпоративный портал
2026-02-23T04:46:38Z	10.90.8.92:63081	192.0.2.40:443	tcp/ssl	71 542 ↑ 325 915 ↓	TLS · видеоконференции · 3 s
2026-02-23T04:52:31Z	10.90.8.41:63883	203.0.113.22:443	tcp/ssl	18 961 ↑ 126 896 ↓	TLS · корпоративный портал · 13 s
2026-02-23T04:52:56Z	10.90.8.77:51239	203.0.113.20:443	tcp/ssl	38 562 ↑ 347 056 ↓	TLS · обновления ОС · 19 s
2026-02-23T04:55:23Z	10.90.8.77:61703	203.0.113.22:443	tcp/ssl	6 680 ↑ 44 701 ↓	TLS · корпоративный портал · 2 s
2026-02-23T05:02:14Z	10.90.8.18:57638	203.0.113.20:443	tcp/ssl	13 652 ↑ 157 004 ↓	TLS · обновления ОС · 8 s
2026-02-23T05:09:10Z	10.90.8.53:52635	192.0.2.41:80	tcp/http	26 901 ↑ 217 658 ↓	HTTP · проверка доступности сети · 17 s
2026-02-23T05:09:52Z	10.90.8.53:65134	192.0.2.40:443	tcp/ssl	48 657 ↑ 255 452 ↓	TLS · видеоконференции · 2 s
2026-02-23T05:10:20Z	10.90.8.41:59188	192.0.2.40:443	tcp/ssl	36 386 ↑ 266 827 ↓	TLS · видеоконференции · 11 s
2026-02-23T05:13:27Z	10.90.8.29:49698	192.0.2.40:443	tcp/ssl	76 185 ↑ 399 971 ↓	TLS · видеоконференции · 4 s
2026-02-23T05:14:52Z	10.90.8.77:62055	203.0.113.21:443	tcp/ssl	57 290 ↑ 383 404 ↓	TLS · почтовый клиент · 23 s
2026-02-23T05:22:53Z	10.90.8.92:51262	203.0.113.21:443	tcp/ssl	4 971 ↑ 26 100 ↓	TLS · почтовый клиент · 4 s
2026-02-23T05:25:50Z	10.90.8.84:56943	192.0.2.40:443	tcp/ssl	16 381 ↑ 86 001 ↓	TLS · видеоконференции · 20 s
2026-02-23T05:26:15Z	10.90.8.77:62272	203.0.113.21:443	tcp/ssl	21 250 ↑ 332 914 ↓	TLS · почтовый клиент · 16 s
2026-02-23T05:29:16Z	10.90.8.92:50185	203.0.113.20:443	tcp/ssl	63 289 ↑ 332 269 ↓	TLS · обновления ОС · 11 s
2026-02-23T05:33:33Z	10.90.8.41:65047	192.0.2.41:80	tcp/http	29 872 ↑ 268 851 ↓	HTTP · проверка доступности сети · 22 s
2026-02-23T05:35:57Z	10.90.8.18:62932	203.0.113.20:443	tcp/ssl	28 537 ↑ 447 075 ↓	TLS · обновления ОС · 21 s
2026-02-23T05:40:03Z	10.90.8.92:64070	203.0.113.22:443	tcp/ssl	65 601 ↑ 371 742 ↓	TLS · корпоративный портал · 6 s
2026-02-23T05:41:35Z	10.90.8.18:52020	203.0.113.20:443	tcp/ssl	19 257 ↑ 194 708 ↓	TLS · обновления ОС · 4 s
2026-02-23T05:46:47Z	10.90.8.41:61639	203.0.113.21:443	tcp/ssl	66 011 ↑ 374 065 ↓	TLS · почтовый клиент · 2 s
2026-02-23T05:46:51Z	10.90.8.29:62916	203.0.113.22:443	tcp/ssl	8 108 ↑ 49 806 ↓	TLS · корпоративный портал · 5 s
2026-02-23T05:47:17Z	10.90.8.53:58206	203.0.113.20:443	tcp/ssl	28 398 ↑ 444 898 ↓	TLS · обновления ОС · 24 s
2026-02-23T05:47:37Z	10.90.8.77:59544	203.0.113.21:443	tcp/ssl	17 155 ↑ 125 801 ↓	TLS · почтовый клиент · 21 s
2026-02-23T05:47:45Z	10.90.8.18:49790	192.0.2.40:443	tcp/ssl	53 428 ↑ 391 809 ↓	TLS · видеоконференции · 22 s
2026-02-23T05:51:23Z	10.90.8.53:60946	192.0.2.41:80	tcp/http	9 711 ↑ 50 980 ↓	HTTP · проверка доступности сети · 1 s
2026-02-23T05:52:52Z	10.90.8.92:49634	203.0.113.22:443	tcp/ssl	80 093 ↑ 364 869 ↓	TLS · корпоративный портал · 14 s
2026-02-23T05:56:42Z	10.90.8.29:51867	203.0.113.21:443	tcp/ssl	48 062 ↑ 352 453 ↓	TLS · почтовый клиент · 7 s
2026-02-23T06:01:06Z	10.90.8.53:64293	192.0.2.41:80	tcp/http	30 448 ↑ 203 768 ↓	HTTP · проверка доступности сети
2026-02-23T06:01:06Z	10.90.8.105:59939	203.0.113.21:443	tcp/ssl	21 622 ↑ 248 647 ↓	TLS · почтовый клиент · 6 s
2026-02-23T06:08:21Z	10.90.8.41:60811	203.0.113.20:443	tcp/ssl	29 207 ↑ 335 884 ↓	TLS · обновления ОС · 10 s
2026-02-23T06:09:11Z	10.90.8.18:56186	203.0.113.21:443	tcp/ssl	9 935 ↑ 114 249 ↓	TLS · почтовый клиент · 19 s
2026-02-23T06:11:27Z	10.90.8.84:55913	192.0.2.40:443	tcp/ssl	56 910 ↑ 417 337 ↓	TLS · видеоконференции · 19 s
2026-02-23T06:13:49Z	10.90.8.105:62862	192.0.2.40:443	tcp/ssl	61 103 ↑ 278 356 ↓	TLS · видеоконференции · 5 s
2026-02-23T06:17:10Z	10.90.8.84:57989	203.0.113.22:443	tcp/ssl	5 725 ↑ 32 439 ↓	TLS · корпоративный портал · 16 s
2026-02-23T06:17:57Z	10.90.8.105:55704	192.0.2.41:80	tcp/http	49 174 ↑ 397 858 ↓	HTTP · проверка доступности сети · 10 s
2026-02-23T06:18:51Z	10.90.8.77:53733	203.0.113.22:443	tcp/ssl	57 300 ↑ 420 199 ↓	TLS · корпоративный портал · 22 s
2026-02-23T06:21:00Z	10.90.8.18:64526	203.0.113.21:443	tcp/ssl	49 848 ↑ 243 376 ↓	TLS · почтовый клиент · 7 s
2026-02-23T06:21:08Z	10.90.8.53:64079	203.0.113.20:443	tcp/ssl	37 883 ↑ 435 652 ↓	TLS · обновления ОС · 19 s
2026-02-23T06:23:21Z	10.90.8.84:59496	203.0.113.21:443	tcp/ssl	19 385 ↑ 257 540 ↓	TLS · почтовый клиент · 15 s
2026-02-23T06:24:27Z	10.90.8.77:58145	203.0.113.21:443	tcp/ssl	2 158 ↑ 10 539 ↓	TLS · почтовый клиент · 15 s
2026-02-23T06:28:04Z	10.90.8.84:53408	203.0.113.21:443	tcp/ssl	48 327 ↑ 253 715 ↓	TLS · почтовый клиент · 2 s
2026-02-23T06:28:14Z	10.90.8.77:49587	203.0.113.22:443	tcp/ssl	26 201 ↑ 119 361 ↓	TLS · корпоративный портал · 7 s
2026-02-23T06:35:48Z	10.90.8.29:60109	203.0.113.21:443	tcp/ssl	7 672 ↑ 51 347 ↓	TLS · почтовый клиент · 9 s
2026-02-23T06:37:25Z	10.90.8.41:62257	192.0.2.41:80	tcp/http	37 411 ↑ 430 225 ↓	HTTP · проверка доступности сети · 5 s
2026-02-23T06:39:08Z	10.90.8.84:57635	203.0.113.22:443	tcp/ssl	12 130 ↑ 74 515 ↓	TLS · корпоративный портал · 8 s
2026-02-23T06:46:43Z	10.90.8.77:51484	203.0.113.22:443	tcp/ssl	13 397 ↑ 120 569 ↓	TLS · корпоративный портал · 1 s
2026-02-23T06:47:50Z	10.90.8.41:53378	203.0.113.20:443	tcp/ssl	7 767 ↑ 37 921 ↓	TLS · обновления ОС · 9 s
2026-02-23T06:49:25Z	10.90.8.84:56263	203.0.113.20:443	tcp/ssl	23 403 ↑ 106 611 ↓	TLS · обновления ОС · 8 s
2026-02-23T06:50:48Z	10.90.8.29:55181	203.0.113.20:443	tcp/ssl	12 216 ↑ 89 583 ↓	TLS · обновления ОС · 21 s
2026-02-23T06:51:44Z	10.90.8.29:57380	203.0.113.21:443	tcp/ssl	4 846 ↑ 35 536 ↓	TLS · почтовый клиент · 13 s
2026-02-23T06:53:02Z	10.90.8.29:62965	192.0.2.41:80	tcp/http	31 573 ↑ 363 093 ↓	HTTP · проверка доступности сети · 18 s
2026-02-23T06:53:30Z	10.90.8.105:59882	203.0.113.22:443	tcp/ssl	28 510 ↑ 446 658 ↓	TLS · корпоративный портал · 22 s
2026-02-23T06:54:21Z	10.90.8.29:52555	203.0.113.21:443	tcp/ssl	7 039 ↑ 110 276 ↓	TLS · почтовый клиент · 15 s
2026-02-23T07:00:00Z	10.90.8.18:60487	192.0.2.41:80	tcp/http	64 085 ↑ 363 150 ↓	HTTP · проверка доступности сети · 11 s
2026-02-23T07:08:59Z	10.90.8.41:53371	192.0.2.40:443	tcp/ssl	30 213 ↑ 185 592 ↓	TLS · видеоконференции · 5 s
2026-02-23T07:16:45Z	10.90.8.105:62567	203.0.113.20:443	tcp/ssl	22 994 ↑ 168 620 ↓	TLS · обновления ОС · 19 s
2026-02-23T07:19:55Z	10.90.8.29:65108	192.0.2.40:443	tcp/ssl	13 703 ↑ 138 549 ↓	TLS · видеоконференции · 5 s
2026-02-23T07:22:15Z	10.90.8.18:49566	192.0.2.41:80	tcp/http	15 508 ↑ 178 342 ↓	HTTP · проверка доступности сети · 14 s
2026-02-23T07:23:23Z	10.90.8.29:49199	192.0.2.41:80	tcp/http	14 712 ↑ 132 408 ↓	HTTP · проверка доступности сети · 18 s
2026-02-23T07:24:30Z	10.90.8.53:58717	203.0.113.21:443	tcp/ssl	58 679 ↑ 267 317 ↓	TLS · почтовый клиент · 12 s
2026-02-23T07:25:36Z	10.90.8.53:55520	203.0.113.21:443	tcp/ssl	30 778 ↑ 277 006 ↓	TLS · почтовый клиент · 18 s
2026-02-23T07:29:20Z	10.90.8.18:57398	203.0.113.20:443	tcp/ssl	19 796 ↑ 121 604 ↓	TLS · обновления ОС

Questions

0/7 · 0/105 points

Which internal address sent the largest session?
Format: IPv4 address · 15 points
Which external address did it go to?
Format: IPv4 address · 15 points
How many bytes were transferred?
Format: Whole number of bytes · 20 points
When did that session start? UTC.
Format: YYYY-MM-DD HH:MM:SS · 15 points
Which port did it go to?
Format: Whole number · 10 points
What share of the day's total outbound traffic was that session? As a whole-number percentage.
Format: Whole number (percent) · 20 points
Which MITRE ATT&CK technique covers sending data over the same channel used for control?
Format: Identifier like T1234 · 10 points