Обход филиала

МФО «Береке Финанс» — микрофинансовая организация. Ночью сработали два оповещения: подряд много неудачных входов на файловом сервере BER-SRV-FILE и крупная передача данных наружу с рабочей станции. Дежурный не уверен, что они связаны.

Вам нужно проверить, одна ли это история. Источников два: журнал событий Windows (файловый сервер и контроллер домена BER-DC-01) и записи о соединениях за сутки. Связывают их не имя и не время, а адрес рабочей станции.

В выборке есть безобидные двойники. Служебная учётная запись с устаревшим паролем даёт ровные неудачные входы, ночью резервное копирование обходит те же папки, а в течение дня уходит законная крупная выгрузка. Различать их нужно по числу разных учётных записей, по источнику и по учётке, а не по ночному времени.

Поля: event.code (4624 — вход, 4625 — неудачный вход, 4776 — проверка на контроллере домена, 5145 — обращение к объекту на сетевой папке), user.name, source.ip, file.share, winlog.logon.id. На вкладке «Сеть» объём наружу и внутрь показан отдельно. Время UTC (Астана — UTC+5).