Задача в третьем часу
Компания: ТОО «Нур Интегратор»
Бұл зертхана әзірге тек орыс тілінде — интерфейс аударылған, талдау әлі жоқ.
Кіріспе
ТОО «Нур Интегратор» — ИТ-компания. Утром при разборе журналов на сервере NUR-SRV-FILE обнаружились две записи за ночь: создана запланированная задача и установлена служба.
Сами по себе такие события — рутина: администраторы заводят задачи и ставят службы постоянно, и в журнале за день их несколько. Разбирать нужно не факт, а обстоятельства: в какое время, под какой учётной записью и откуда был вход.
Журнал безопасности за сутки перед вами. Время — UTC, офис работает по Астане (UTC+5), то есть рабочий день это примерно 04:00–13:00 UTC.
Артефактілер
Сол деректер нақты құралдарға арналған файлдарда: Wireshark, Excel-де ашыңыз немесе Elastic-ке жүктеңіз. Жауаптар сәйкес келеді — деректер бір.
| @timestamp | event.code | host.name | user.name | source.ip | user.domain |
|---|---|---|---|---|---|
| 2026-02-10T02:05:00Z | 4624 | NUR-SRV-FILE | a.zhuma | 203.0.113.55 | NUR |
| 2026-02-10T02:14:00Z | 4698 | NUR-SRV-FILE | a.zhuma | — | NUR |
| 2026-02-10T02:20:00Z | 7045 | NUR-SRV-FILE | a.zhuma | — | — |
| 2026-02-10T04:38:48Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.48 | NUR |
| 2026-02-10T04:40:07Z | 4625 | NUR-WS-41 | t.kaliev | 10.90.8.98 | NUR |
| 2026-02-10T04:41:07Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.98 | NUR |
| 2026-02-10T04:55:03Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.120 | NUR |
| 2026-02-10T04:57:36Z | 4624 | NUR-WS-27 | e.beketov | 10.90.8.89 | NUR |
| 2026-02-10T05:04:20Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.88 | NUR |
| 2026-02-10T05:20:47Z | 4624 | NUR-WS-46 | a.zhuma | 10.90.8.44 | NUR |
| 2026-02-10T05:22:06Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.51 | NUR |
| 2026-02-10T05:25:39Z | 4625 | NUR-WS-54 | m.nurpeis | 10.90.8.105 | NUR |
| 2026-02-10T05:28:41Z | 4624 | NUR-WS-46 | a.zhuma | 10.90.8.73 | NUR |
| 2026-02-10T05:29:39Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.105 | NUR |
| 2026-02-10T06:12:00Z | 4698 | NUR-SRV-APP | a.zhuma | — | NUR |
| 2026-02-10T06:13:56Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.62 | NUR |
| 2026-02-10T06:17:15Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.56 | NUR |
| 2026-02-10T06:20:43Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.114 | NUR |
| 2026-02-10T06:41:46Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.38 | NUR |
| 2026-02-10T06:47:15Z | 4625 | NUR-WS-27 | e.beketov | 10.90.8.111 | NUR |
| 2026-02-10T06:51:15Z | 4624 | NUR-WS-27 | e.beketov | 10.90.8.111 | NUR |
| 2026-02-10T07:05:00Z | 7045 | NUR-SRV-APP | a.zhuma | — | — |
| 2026-02-10T07:15:33Z | 4625 | NUR-WS-41 | t.kaliev | 10.90.8.43 | NUR |
| 2026-02-10T07:15:35Z | 4624 | NUR-WS-17 | a.serik | 10.90.8.35 | NUR |
| 2026-02-10T07:17:33Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.43 | NUR |
| 2026-02-10T07:31:48Z | 4624 | NUR-WS-23 | d.abdrah | 10.90.8.64 | NUR |
| 2026-02-10T07:41:07Z | 4634 | NUR-WS-41 | t.kaliev | — | NUR |
| 2026-02-10T08:01:31Z | 4624 | NUR-WS-17 | a.serik | 10.90.8.77 | NUR |
| 2026-02-10T08:14:56Z | 4624 | NUR-WS-39 | r.tleubaev | 10.90.8.39 | NUR |
| 2026-02-10T08:22:30Z | 4624 | NUR-WS-39 | r.tleubaev | 10.90.8.106 | NUR |
| 2026-02-10T08:32:31Z | 4624 | NUR-WS-17 | a.serik | 10.90.8.45 | NUR |
| 2026-02-10T08:40:00Z | 4698 | NUR-DC-01 | a.zhuma | — | NUR |
| 2026-02-10T08:50:15Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.79 | NUR |
| 2026-02-10T09:13:56Z | 4634 | NUR-WS-54 | m.nurpeis | — | NUR |
| 2026-02-10T09:20:43Z | 4634 | NUR-WS-14 | s.isaeva | — | NUR |
| 2026-02-10T09:29:39Z | 4634 | NUR-WS-54 | m.nurpeis | — | NUR |
| 2026-02-10T09:34:57Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.68 | NUR |
| 2026-02-10T09:38:47Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.96 | NUR |
| 2026-02-10T09:42:23Z | 4625 | NUR-WS-41 | t.kaliev | 10.90.8.42 | NUR |
| 2026-02-10T09:42:40Z | 4624 | NUR-WS-39 | r.tleubaev | 10.90.8.33 | NUR |
| 2026-02-10T09:44:23Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.42 | NUR |
| 2026-02-10T09:57:36Z | 4634 | NUR-WS-27 | e.beketov | — | NUR |
| 2026-02-10T10:02:35Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.112 | NUR |
| 2026-02-10T10:04:20Z | 4634 | NUR-WS-41 | t.kaliev | — | NUR |
| 2026-02-10T10:18:56Z | 4624 | NUR-WS-17 | a.serik | 10.90.8.71 | NUR |
| 2026-02-10T10:19:08Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.80 | NUR |
| 2026-02-10T10:38:48Z | 4634 | NUR-WS-54 | m.nurpeis | — | NUR |
| 2026-02-10T11:08:40Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.112 | NUR |
| 2026-02-10T11:15:35Z | 4634 | NUR-WS-17 | a.serik | — | NUR |
| 2026-02-10T11:20:47Z | 4634 | NUR-WS-46 | a.zhuma | — | NUR |
| 2026-02-10T11:22:06Z | 4634 | NUR-WS-14 | s.isaeva | — | NUR |
| 2026-02-10T11:24:48Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.69 | NUR |
| 2026-02-10T11:31:48Z | 4634 | NUR-WS-23 | d.abdrah | — | NUR |
| 2026-02-10T11:32:44Z | 4624 | NUR-WS-41 | t.kaliev | 10.90.8.84 | NUR |
| 2026-02-10T12:06:13Z | 4625 | NUR-WS-54 | m.nurpeis | 10.90.8.54 | NUR |
| 2026-02-10T12:10:13Z | 4624 | NUR-WS-54 | m.nurpeis | 10.90.8.54 | NUR |
| 2026-02-10T12:14:56Z | 4634 | NUR-WS-39 | r.tleubaev | — | NUR |
| 2026-02-10T12:21:11Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.95 | NUR |
| 2026-02-10T12:22:48Z | 4624 | NUR-WS-14 | s.isaeva | 10.90.8.60 | NUR |
| 2026-02-10T12:27:37Z | 4625 | NUR-WS-17 | a.serik | 10.90.8.103 | NUR |
Сұрақтар
0/7 · 0/110 ұпай
Прогресті сақтау және рейтингке кіру үшін кіріңіз.
Как называется запланированная задача, созданная ночью?
Пішімі: Имя задачи, как в журнале · 15 ұпай
Когда её создали? Время UTC.
Пішімі: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 20 ұпай
Под какой учётной записью она создана?
Пішімі: Имя учётной записи · 15 ұпай
На каком узле это произошло?
Пішімі: Имя узла, как в журнале · 10 ұпай
Какая служба была установлена следом?
Пішімі: Имя службы · 20 ұпай
Из какого файла запускается эта служба?
Пішімі: Полный путь к файлу · 20 ұпай
Какой техникой MITRE ATT&CK описывается закрепление через запланированную задачу?
Пішімі: Идентификатор вида T1234.005 · 10 ұпай