Сто раз «не найдено»
Компания: ТОО «Алтын Строй»
Вводная
ТОО «Алтын Строй» — строительная компания. Администратор сайта заметил, что счётчик ошибок 404 за сутки вырос в десятки раз, и передал вам журнал доступа.
В журнале есть и обычные посетители: они ходят по существующим страницам и получают 200. Ваша задача — найти клиента, который ведёт себя иначе, и описать его так, чтобы по описанию можно было закрыть ему доступ.
Поля журнала — как в Elastic: source.ip, url.path, http.response.status_code, user_agent.original. Время UTC.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
| @timestamp | source.ip | http.request.method | http.response.bytes | http.response.status_code | url.path |
|---|---|---|---|---|---|
| 2026-03-03T02:35:00Z | 203.0.113.212 | GET | 1240 | 404 | /old/ |
| 2026-03-03T02:35:01Z | 203.0.113.212 | GET | 1240 | 404 | /backup/ |
| 2026-03-03T02:35:03Z | 203.0.113.212 | GET | 1240 | 404 | /test/ |
| 2026-03-03T02:35:04Z | 203.0.113.212 | GET | 1240 | 404 | /dev/ |
| 2026-03-03T02:35:05Z | 203.0.113.212 | GET | 1240 | 404 | /tmp/ |
| 2026-03-03T02:35:07Z | 203.0.113.212 | GET | 1240 | 404 | /files/ |
| 2026-03-03T02:35:08Z | 203.0.113.212 | GET | 1240 | 404 | /docs/ |
| 2026-03-03T02:35:10Z | 203.0.113.212 | GET | 1240 | 404 | /uploads/ |
| 2026-03-03T02:35:11Z | 203.0.113.212 | GET | 1240 | 404 | /archive/ |
| 2026-03-03T02:35:12Z | 203.0.113.212 | GET | 1240 | 404 | /portal/ |
| 2026-03-03T02:35:14Z | 203.0.113.212 | GET | 1240 | 404 | /app/ |
| 2026-03-03T02:35:15Z | 203.0.113.212 | GET | 1240 | 404 | /api/ |
| 2026-03-03T02:35:16Z | 203.0.113.212 | GET | 1240 | 404 | /old-1/ |
| 2026-03-03T02:35:18Z | 203.0.113.212 | GET | 1240 | 404 | /backup-1/ |
| 2026-03-03T02:35:19Z | 203.0.113.212 | GET | 1240 | 404 | /test-1/ |
| 2026-03-03T02:35:21Z | 203.0.113.212 | GET | 1240 | 404 | /dev-1/ |
| 2026-03-03T02:35:22Z | 203.0.113.212 | GET | 1240 | 404 | /tmp-1/ |
| 2026-03-03T02:35:23Z | 203.0.113.212 | GET | 1240 | 404 | /files-1/ |
| 2026-03-03T02:35:25Z | 203.0.113.212 | GET | 1240 | 404 | /docs-1/ |
| 2026-03-03T02:35:26Z | 203.0.113.212 | GET | 1240 | 404 | /uploads-1/ |
| 2026-03-03T02:35:28Z | 203.0.113.212 | GET | 1240 | 404 | /archive-1/ |
| 2026-03-03T02:35:29Z | 203.0.113.212 | GET | 1240 | 404 | /portal-1/ |
| 2026-03-03T02:35:30Z | 203.0.113.212 | GET | 1240 | 404 | /app-1/ |
| 2026-03-03T02:35:32Z | 203.0.113.212 | GET | 1240 | 404 | /api-1/ |
| 2026-03-03T02:35:33Z | 203.0.113.212 | GET | 1240 | 404 | /old-2/ |
| 2026-03-03T02:35:35Z | 203.0.113.212 | GET | 1240 | 404 | /backup-2/ |
| 2026-03-03T02:35:36Z | 203.0.113.212 | GET | 1240 | 404 | /test-2/ |
| 2026-03-03T02:35:37Z | 203.0.113.212 | GET | 1240 | 404 | /dev-2/ |
| 2026-03-03T02:35:39Z | 203.0.113.212 | GET | 1240 | 404 | /tmp-2/ |
| 2026-03-03T02:35:40Z | 203.0.113.212 | GET | 1240 | 404 | /files-2/ |
| 2026-03-03T02:35:42Z | 203.0.113.212 | GET | 1240 | 404 | /docs-2/ |
| 2026-03-03T02:35:43Z | 203.0.113.212 | GET | 1240 | 404 | /uploads-2/ |
| 2026-03-03T02:35:45Z | 203.0.113.212 | GET | 1240 | 404 | /archive-2/ |
| 2026-03-03T02:35:46Z | 203.0.113.212 | GET | 1240 | 404 | /portal-2/ |
| 2026-03-03T02:35:47Z | 203.0.113.212 | GET | 1240 | 404 | /app-2/ |
| 2026-03-03T02:35:49Z | 203.0.113.212 | GET | 1240 | 404 | /api-2/ |
| 2026-03-03T02:35:50Z | 203.0.113.212 | GET | 1240 | 404 | /old-3/ |
| 2026-03-03T02:35:52Z | 203.0.113.212 | GET | 1240 | 404 | /backup-3/ |
| 2026-03-03T02:35:53Z | 203.0.113.212 | GET | 1240 | 404 | /test-3/ |
| 2026-03-03T02:35:54Z | 203.0.113.212 | GET | 1240 | 404 | /dev-3/ |
| 2026-03-03T02:35:56Z | 203.0.113.212 | GET | 1240 | 404 | /tmp-3/ |
| 2026-03-03T02:35:57Z | 203.0.113.212 | GET | 1240 | 404 | /files-3/ |
| 2026-03-03T02:35:58Z | 203.0.113.212 | GET | 5720 | 200 | /static/app.js |
| 2026-03-03T02:35:59Z | 203.0.113.212 | GET | 1240 | 404 | /docs-3/ |
| 2026-03-03T02:36:00Z | 203.0.113.212 | GET | 1240 | 404 | /uploads-3/ |
| 2026-03-03T02:36:01Z | 203.0.113.212 | GET | 1240 | 404 | /archive-3/ |
| 2026-03-03T02:36:03Z | 203.0.113.212 | GET | 1240 | 404 | /portal-3/ |
| 2026-03-03T02:36:04Z | 203.0.113.212 | GET | 1240 | 404 | /app-3/ |
| 2026-03-03T02:36:05Z | 203.0.113.212 | GET | 1240 | 404 | /api-3/ |
| 2026-03-03T02:36:07Z | 203.0.113.212 | GET | 1240 | 404 | /old-4/ |
| 2026-03-03T02:36:08Z | 203.0.113.212 | GET | 1240 | 404 | /backup-4/ |
| 2026-03-03T02:36:10Z | 203.0.113.212 | GET | 1240 | 404 | /test-4/ |
| 2026-03-03T02:36:11Z | 203.0.113.212 | GET | 1240 | 404 | /dev-4/ |
| 2026-03-03T02:36:12Z | 203.0.113.212 | GET | 1240 | 404 | /tmp-4/ |
| 2026-03-03T02:36:14Z | 203.0.113.212 | GET | 1240 | 404 | /files-4/ |
| 2026-03-03T02:36:15Z | 203.0.113.212 | GET | 1240 | 404 | /docs-4/ |
| 2026-03-03T02:36:17Z | 203.0.113.212 | GET | 1240 | 404 | /uploads-4/ |
| 2026-03-03T02:36:18Z | 203.0.113.212 | GET | 1240 | 404 | /archive-4/ |
| 2026-03-03T02:36:19Z | 203.0.113.212 | GET | 1240 | 404 | /portal-4/ |
| 2026-03-03T02:36:21Z | 203.0.113.212 | GET | 1240 | 404 | /app-4/ |
Вопросы
0/7 · 0/100 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
С какого адреса идёт основная масса ответов «не найдено»?
Формат: IPv4-адрес · 10 очков
Сколько ответов 404 пришлось на этот адрес?
Формат: Целое число · 20 очков
Каким клиентом представляются эти запросы?
Формат: Строка user-agent целиком · 15 очков
Когда прошёл первый такой запрос? Время UTC.
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 15 очков
А когда последний?
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 15 очков
Сколько всего запросов пришло с этого адреса, включая успешные?
Формат: Целое число · 15 очков
Какой техникой MITRE ATT&CK описывается перебор каталогов на сайте?
Формат: Идентификатор вида T1234.003 · 10 очков