Стёртый вечер
Компания: ТОО «Алтын Строй»
Вводная
ТОО «Алтын Строй» — строительная компания. Мониторинг прислал одно событие: на сервере ALT-SRV-FILE очищен журнал аудита. Больше ничего в оповещении нет.
Само событие очистки удалить нельзя — оно записывается уже в новый, пустой журнал. Оно и есть отправная точка: по нему видно время, узел и учётную запись. Остальное восстанавливаем по тому, что уцелело: часть записей этой учётной записи попала в журнал до очистки.
Время в журнале — UTC, офис работает по Астане (UTC+5). Рабочий день — примерно 04:00–13:00 UTC.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
| @timestamp | event.code | host.name | user.name | source.ip | user.domain |
|---|---|---|---|---|---|
| 2026-02-26T04:09:38Z | 4624 | ALT-WS-33 | s.isaeva | 10.40.2.42 | ALT |
| 2026-02-26T04:12:05Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.77 | ALT |
| 2026-02-26T04:15:54Z | 4624 | ALT-WS-21 | t.kaliev | 10.40.2.109 | ALT |
| 2026-02-26T04:27:24Z | 4624 | ALT-WS-33 | s.isaeva | 10.40.2.57 | ALT |
| 2026-02-26T04:47:10Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.74 | ALT |
| 2026-02-26T05:37:00Z | 4625 | ALT-WS-15 | a.zhuma | 10.40.2.63 | ALT |
| 2026-02-26T05:41:00Z | 4624 | ALT-WS-15 | a.zhuma | 10.40.2.63 | ALT |
| 2026-02-26T05:42:45Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.64 | ALT |
| 2026-02-26T05:57:06Z | 4624 | ALT-WS-55 | d.abdrah | 10.40.2.53 | ALT |
| 2026-02-26T06:06:48Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.80 | ALT |
| 2026-02-26T06:22:21Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.46 | ALT |
| 2026-02-26T06:53:23Z | 4624 | ALT-WS-55 | d.abdrah | 10.40.2.108 | ALT |
| 2026-02-26T07:01:31Z | 4624 | ALT-WS-15 | a.zhuma | 10.40.2.40 | ALT |
| 2026-02-26T07:08:26Z | 4624 | ALT-WS-33 | s.isaeva | 10.40.2.89 | ALT |
| 2026-02-26T07:15:52Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.71 | ALT |
| 2026-02-26T07:18:38Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.90 | ALT |
| 2026-02-26T07:42:14Z | 4624 | ALT-WS-12 | a.serik | 10.40.2.69 | ALT |
| 2026-02-26T07:42:20Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.76 | ALT |
| 2026-02-26T07:50:20Z | 4624 | ALT-WS-41 | r.tleubaev | 10.40.2.63 | ALT |
| 2026-02-26T08:21:53Z | 4625 | ALT-WS-29 | e.beketov | 10.40.2.116 | ALT |
| 2026-02-26T08:22:53Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.116 | ALT |
| 2026-02-26T08:27:24Z | 4634 | ALT-WS-33 | s.isaeva | — | ALT |
| 2026-02-26T08:34:50Z | 4624 | ALT-WS-21 | t.kaliev | 10.40.2.108 | ALT |
| 2026-02-26T08:42:45Z | 4634 | ALT-WS-29 | e.beketov | — | ALT |
| 2026-02-26T08:42:50Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.100 | ALT |
| 2026-02-26T08:47:19Z | 4624 | ALT-WS-33 | s.isaeva | 10.40.2.74 | ALT |
| 2026-02-26T08:59:54Z | 4625 | ALT-WS-50 | m.nurpeis | 10.40.2.73 | ALT |
| 2026-02-26T09:00:54Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.73 | ALT |
| 2026-02-26T09:09:38Z | 4634 | ALT-WS-33 | s.isaeva | — | ALT |
| 2026-02-26T09:18:43Z | 4624 | ALT-WS-12 | a.serik | 10.40.2.113 | ALT |
| 2026-02-26T09:20:16Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.116 | ALT |
| 2026-02-26T09:20:18Z | 4624 | ALT-WS-12 | a.serik | 10.40.2.36 | ALT |
| 2026-02-26T09:26:03Z | 4624 | ALT-WS-41 | r.tleubaev | 10.40.2.56 | ALT |
| 2026-02-26T09:44:38Z | 4624 | ALT-WS-41 | r.tleubaev | 10.40.2.39 | ALT |
| 2026-02-26T09:52:38Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.37 | ALT |
| 2026-02-26T10:31:33Z | 4624 | ALT-WS-33 | s.isaeva | 10.40.2.34 | ALT |
| 2026-02-26T10:41:00Z | 4634 | ALT-WS-15 | a.zhuma | — | ALT |
| 2026-02-26T10:43:54Z | 4624 | ALT-WS-41 | r.tleubaev | 10.40.2.113 | ALT |
| 2026-02-26T10:45:18Z | 4624 | ALT-WS-21 | t.kaliev | 10.40.2.107 | ALT |
| 2026-02-26T10:46:24Z | 4624 | ALT-WS-41 | r.tleubaev | 10.40.2.103 | ALT |
| 2026-02-26T10:57:06Z | 4634 | ALT-WS-55 | d.abdrah | — | ALT |
| 2026-02-26T10:59:15Z | 4624 | ALT-WS-15 | a.zhuma | 10.40.2.87 | ALT |
| 2026-02-26T11:15:54Z | 4634 | ALT-WS-21 | t.kaliev | — | ALT |
| 2026-02-26T11:22:21Z | 4634 | ALT-WS-29 | e.beketov | — | ALT |
| 2026-02-26T11:25:27Z | 4625 | ALT-WS-21 | t.kaliev | 10.40.2.62 | ALT |
| 2026-02-26T11:27:27Z | 4624 | ALT-WS-21 | t.kaliev | 10.40.2.62 | ALT |
| 2026-02-26T11:31:19Z | 4625 | ALT-WS-29 | e.beketov | 10.40.2.31 | ALT |
| 2026-02-26T11:34:19Z | 4624 | ALT-WS-29 | e.beketov | 10.40.2.31 | ALT |
| 2026-02-26T11:36:42Z | 4625 | ALT-WS-21 | t.kaliev | 10.40.2.47 | ALT |
| 2026-02-26T11:40:42Z | 4624 | ALT-WS-21 | t.kaliev | 10.40.2.47 | ALT |
| 2026-02-26T12:08:26Z | 4634 | ALT-WS-33 | s.isaeva | — | ALT |
| 2026-02-26T12:12:05Z | 4634 | ALT-WS-29 | e.beketov | — | ALT |
| 2026-02-26T12:12:56Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.56 | ALT |
| 2026-02-26T12:15:52Z | 4634 | ALT-WS-29 | e.beketov | — | ALT |
| 2026-02-26T12:19:56Z | 4624 | ALT-WS-15 | a.zhuma | 10.40.2.37 | ALT |
| 2026-02-26T12:33:00Z | 4624 | ALT-WS-50 | m.nurpeis | 10.40.2.100 | ALT |
| 2026-02-26T12:42:14Z | 4634 | ALT-WS-12 | a.serik | — | ALT |
| 2026-02-26T12:47:10Z | 4634 | ALT-WS-29 | e.beketov | — | ALT |
| 2026-02-26T12:50:20Z | 4634 | ALT-WS-41 | r.tleubaev | — | ALT |
| 2026-02-26T13:01:31Z | 4634 | ALT-WS-15 | a.zhuma | — | ALT |
Вопросы
0/7 · 0/110 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Когда журнал аудита был очищен? Время UTC.
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 20 очков
Под какой учётной записью очищен журнал?
Формат: Имя учётной записи · 15 очков
На каком узле это произошло?
Формат: Имя узла · 10 очков
С какого адреса эта учётная запись вошла в систему?
Формат: IPv4-адрес · 15 очков
Сколько событий этой учётной записи попало в журнал до очистки?
Формат: Целое число · 20 очков
К какой сетевой папке эта учётная запись обратилась первой?
Формат: Сетевой путь вида \\СЕРВЕР\Папка · 20 очков
Какой техникой MITRE ATT&CK описывается очистка журналов Windows?
Формат: Идентификатор вида T1234.001 · 10 очков