Открытые двери
Компания: ТОО «Алтын Строй»
Вводная
ТОО «Алтын Строй» — строительная компания. На файловом сервере ALT-SRV-FILE включён аудит доступа к сетевым папкам. За вчерашний день накопился журнал, и в нём что-то не так.
Днём картина обычная: сотрудники открывают папки своих отделов, каждый одну-две. Вас интересует учётная запись, которая вела себя иначе — методично, по одной папке за раз, вне рабочего дня.
Обращение к сетевой папке — событие 5140. Путь лежит в поле file.share, адрес обращающегося — в source.ip. Время UTC.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
| @timestamp | event.code | host.name | user.name | source.ip | user.domain |
|---|---|---|---|---|---|
| 2026-02-11T04:05:15Z | 5140 | ALT-SRV-FILE | r.tleubaev | 10.40.2.59 | ALT |
| 2026-02-11T04:07:24Z | 4624 | ALT-WS-23 | r.tleubaev | 10.40.2.34 | ALT |
| 2026-02-11T04:08:14Z | 5140 | ALT-SRV-FILE | a.serik | 10.40.2.36 | ALT |
| 2026-02-11T04:08:55Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.114 | ALT |
| 2026-02-11T04:10:35Z | 4625 | ALT-WS-29 | s.isaeva | 10.40.2.99 | ALT |
| 2026-02-11T04:13:16Z | 5140 | ALT-SRV-FILE | t.kaliev | 10.40.2.32 | ALT |
| 2026-02-11T04:13:35Z | 4624 | ALT-WS-29 | s.isaeva | 10.40.2.99 | ALT |
| 2026-02-11T04:18:06Z | 4625 | ALT-WS-29 | t.kaliev | 10.40.2.102 | ALT |
| 2026-02-11T04:19:06Z | 4624 | ALT-WS-29 | t.kaliev | 10.40.2.102 | ALT |
| 2026-02-11T04:21:02Z | 4624 | ALT-WS-37 | m.nurpeis | 10.40.2.108 | ALT |
| 2026-02-11T04:27:40Z | 5140 | ALT-SRV-FILE | e.beketov | 10.40.2.65 | ALT |
| 2026-02-11T04:37:59Z | 4624 | ALT-WS-23 | r.tleubaev | 10.40.2.114 | ALT |
| 2026-02-11T04:42:43Z | 4625 | ALT-WS-18 | a.zhuma | 10.40.2.69 | ALT |
| 2026-02-11T04:46:43Z | 4624 | ALT-WS-18 | a.zhuma | 10.40.2.69 | ALT |
| 2026-02-11T05:01:35Z | 5140 | ALT-SRV-FILE | d.abdrah | 10.40.2.47 | ALT |
| 2026-02-11T05:05:21Z | 4624 | ALT-WS-37 | m.nurpeis | 10.40.2.30 | ALT |
| 2026-02-11T05:06:24Z | 5140 | ALT-SRV-FILE | r.tleubaev | 10.40.2.36 | ALT |
| 2026-02-11T05:28:11Z | 5140 | ALT-SRV-FILE | r.tleubaev | 10.40.2.80 | ALT |
| 2026-02-11T05:51:27Z | 4624 | ALT-WS-29 | s.isaeva | 10.40.2.101 | ALT |
| 2026-02-11T05:56:25Z | 5140 | ALT-SRV-FILE | e.beketov | 10.40.2.54 | ALT |
| 2026-02-11T06:01:23Z | 4624 | ALT-WS-29 | t.kaliev | 10.40.2.31 | ALT |
| 2026-02-11T06:21:22Z | 4624 | ALT-WS-37 | m.nurpeis | 10.40.2.119 | ALT |
| 2026-02-11T06:27:23Z | 5140 | ALT-SRV-FILE | t.kaliev | 10.40.2.70 | ALT |
| 2026-02-11T06:47:54Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.108 | ALT |
| 2026-02-11T06:51:48Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.50 | ALT |
| 2026-02-11T06:54:07Z | 5140 | ALT-SRV-FILE | r.tleubaev | 10.40.2.101 | ALT |
| 2026-02-11T07:07:06Z | 5140 | ALT-SRV-FILE | d.abdrah | 10.40.2.81 | ALT |
| 2026-02-11T07:09:59Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.89 | ALT |
| 2026-02-11T07:11:28Z | 4624 | ALT-WS-29 | s.isaeva | 10.40.2.108 | ALT |
| 2026-02-11T07:16:35Z | 4624 | ALT-WS-23 | r.tleubaev | 10.40.2.102 | ALT |
| 2026-02-11T07:18:08Z | 5140 | ALT-SRV-FILE | a.serik | 10.40.2.109 | ALT |
| 2026-02-11T07:23:51Z | 5140 | ALT-SRV-FILE | e.beketov | 10.40.2.93 | ALT |
| 2026-02-11T07:27:19Z | 4624 | ALT-WS-36 | e.beketov | 10.40.2.33 | ALT |
| 2026-02-11T07:29:27Z | 5140 | ALT-SRV-FILE | e.beketov | 10.40.2.50 | ALT |
| 2026-02-11T07:32:49Z | 5140 | ALT-SRV-FILE | s.isaeva | 10.40.2.75 | ALT |
| 2026-02-11T07:39:06Z | 4624 | ALT-WS-29 | s.isaeva | 10.40.2.116 | ALT |
| 2026-02-11T07:41:17Z | 5140 | ALT-SRV-FILE | s.isaeva | 10.40.2.39 | ALT |
| 2026-02-11T07:46:55Z | 4624 | ALT-WS-36 | d.abdrah | 10.40.2.114 | ALT |
| 2026-02-11T07:50:00Z | 5140 | ALT-SRV-FILE | s.isaeva | 10.40.2.100 | ALT |
| 2026-02-11T07:52:37Z | 4624 | ALT-WS-13 | a.serik | 10.40.2.38 | ALT |
| 2026-02-11T08:05:21Z | 4634 | ALT-WS-37 | m.nurpeis | — | ALT |
| 2026-02-11T08:07:24Z | 4634 | ALT-WS-23 | r.tleubaev | — | ALT |
| 2026-02-11T08:11:05Z | 5140 | ALT-SRV-FILE | e.beketov | 10.40.2.31 | ALT |
| 2026-02-11T08:15:23Z | 4625 | ALT-WS-36 | e.beketov | 10.40.2.112 | ALT |
| 2026-02-11T08:16:23Z | 4624 | ALT-WS-36 | e.beketov | 10.40.2.112 | ALT |
| 2026-02-11T08:17:38Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.81 | ALT |
| 2026-02-11T08:24:39Z | 4624 | ALT-WS-13 | a.serik | 10.40.2.39 | ALT |
| 2026-02-11T08:28:53Z | 5140 | ALT-SRV-FILE | t.kaliev | 10.40.2.60 | ALT |
| 2026-02-11T08:43:19Z | 4624 | ALT-WS-23 | r.tleubaev | 10.40.2.101 | ALT |
| 2026-02-11T08:53:36Z | 4625 | ALT-WS-36 | e.beketov | 10.40.2.52 | ALT |
| 2026-02-11T08:55:36Z | 4624 | ALT-WS-36 | e.beketov | 10.40.2.52 | ALT |
| 2026-02-11T09:01:04Z | 5140 | ALT-SRV-FILE | s.isaeva | 10.40.2.34 | ALT |
| 2026-02-11T09:10:50Z | 5140 | ALT-SRV-FILE | a.serik | 10.40.2.62 | ALT |
| 2026-02-11T09:11:52Z | 5140 | ALT-SRV-FILE | a.zhuma | 10.40.2.99 | ALT |
| 2026-02-11T09:13:35Z | 4634 | ALT-WS-29 | s.isaeva | — | ALT |
| 2026-02-11T09:32:16Z | 4624 | ALT-WS-37 | m.nurpeis | 10.40.2.111 | ALT |
| 2026-02-11T09:36:21Z | 5140 | ALT-SRV-FILE | d.abdrah | 10.40.2.67 | ALT |
| 2026-02-11T09:45:38Z | 5140 | ALT-SRV-FILE | r.tleubaev | 10.40.2.59 | ALT |
| 2026-02-11T09:46:43Z | 4634 | ALT-WS-18 | a.zhuma | — | ALT |
| 2026-02-11T09:51:27Z | 4634 | ALT-WS-29 | s.isaeva | — | ALT |
Вопросы
0/7 · 0/100 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Какая учётная запись обошла папки?
Формат: Имя учётной записи · 15 очков
С какого адреса она это делала?
Формат: IPv4-адрес · 15 очков
Сколько разных сетевых папок она открыла?
Формат: Целое число · 20 очков
А сколько было обращений всего?
Формат: Целое число · 15 очков
Когда она открыла первую папку? Время UTC.
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 15 очков
На каком сервере лежат эти папки?
Формат: Имя узла · 10 очков
Какой техникой MITRE ATT&CK описывается поиск доступных сетевых папок?
Формат: Идентификатор вида T1234 · 10 очков