Threat HuntingКүрделіPro

Обход перед аудитом

Компания: МФО «Береке Финанс»

40 мин7 сұрақ100 ұпайMITRE ATT&CK:T1135T1078

Бұл зертхана әзірге тек орыс тілінде — интерфейс аударылған, талдау әлі жоқ.

Кіріспе

МФО «Береке Финанс» — микрофинансовая организация. На файловом сервере BER-SRV-FILE включён аудит доступа к сетевым папкам. За вчерашний день накопился журнал, и в нём что-то не так.

Днём картина обычная: сотрудники открывают папки своих отделов, каждый одну-две. Вас интересует учётная запись, которая вела себя иначе — методично, по одной папке за раз, вне рабочего дня.

Обращение к сетевой папке — событие 5140. Путь лежит в поле file.share, адрес обращающегося — в source.ip. Время UTC.

Бұл зертхана жазылымға кіреді

Барлық зертханаларды, тректерді және ай сайынғы жаңа тапсырмаларды алу үшін Pro қосыңыз.

Тарифтерді қарау