Тихий перебор
Компания: Университет «Жетісу»
Вводная
Университет «Жетісу» — региональный вуз. Ночью сработали два оповещения: подряд много неудачных входов на файловом сервере ZHE-SRV-FILE и крупная передача данных наружу с рабочей станции. Дежурный не уверен, что они связаны.
Вам нужно проверить, одна ли это история. Источников два: журнал событий Windows (файловый сервер и контроллер домена ZHE-DC-01) и записи о соединениях за сутки. Связывают их не имя и не время, а адрес рабочей станции.
В выборке есть безобидные двойники. Служебная учётная запись с устаревшим паролем даёт ровные неудачные входы, ночью резервное копирование обходит те же папки, а в течение дня уходит законная крупная выгрузка. Различать их нужно по числу разных учётных записей, по источнику и по учётке, а не по ночному времени.
Поля: event.code (4624 — вход, 4625 — неудачный вход, 4776 — проверка на контроллере домена, 5145 — обращение к объекту на сетевой папке), user.name, source.ip, file.share, winlog.logon.id. На вкладке «Сеть» объём наружу и внутрь показан отдельно. Время UTC (Астана — UTC+5).
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
Кадры в PCAP обрезаны при снятии до 96 байт, как на настоящем периметре: заголовков хватает для разбора, длина на проводе проставлена честно, поэтому объёмы в Statistics → Conversations совпадают с таблицей.
| @timestamp | event.code | host.name | user.name | source.ip | user.domain |
|---|---|---|---|---|---|
| 2026-10-06T00:25:48Z | 4624 | ZHE-DC-01 | ZHE-WS-19$ | 10.60.7.39 | ZHE |
| 2026-10-06T00:34:17Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.36 | ZHE |
| 2026-10-06T01:03:54Z | 4624 | ZHE-DC-01 | ZHE-SRV-FILE$ | 10.60.7.39 | ZHE |
| 2026-10-06T01:09:51Z | 4624 | ZHE-DC-01 | ZHE-WS-58$ | 10.60.7.40 | ZHE |
| 2026-10-06T01:11:17Z | 4624 | ZHE-DC-01 | ZHE-WS-19$ | 10.60.7.103 | ZHE |
| 2026-10-06T01:12:15Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.54 | ZHE |
| 2026-10-06T01:28:44Z | 4624 | ZHE-DC-01 | ZHE-WS-58$ | 10.60.7.79 | ZHE |
| 2026-10-06T01:45:13Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.109 | ZHE |
| 2026-10-06T01:56:54Z | 4624 | ZHE-DC-01 | ZHE-WS-58$ | 10.60.7.77 | ZHE |
| 2026-10-06T02:07:29Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.105 | ZHE |
| 2026-10-06T02:13:41Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.107 | ZHE |
| 2026-10-06T02:14:34Z | 4624 | ZHE-DC-01 | ZHE-WS-58$ | 10.60.7.97 | ZHE |
| 2026-10-06T02:31:52Z | 4624 | ZHE-DC-01 | ZHE-SRV-APP$ | 10.60.7.113 | ZHE |
| 2026-10-06T02:32:32Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.92 | ZHE |
| 2026-10-06T03:13:01Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.96 | ZHE |
| 2026-10-06T03:28:57Z | 4624 | ZHE-DC-01 | ZHE-WS-52$ | 10.60.7.113 | ZHE |
| 2026-10-06T03:39:58Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.69 | ZHE |
| 2026-10-06T04:02:06Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.58 | ZHE |
| 2026-10-06T04:18:22Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.97 | ZHE |
| 2026-10-06T04:26:59Z | 4624 | ZHE-DC-01 | ZHE-WS-19$ | 10.60.7.40 | ZHE |
| 2026-10-06T04:36:07Z | 4624 | ZHE-WS-58 | s.isaeva | 10.60.7.50 | ZHE |
| 2026-10-06T04:42:25Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.46 | ZHE |
| 2026-10-06T04:47:19Z | 4624 | ZHE-WS-52 | a.serik | 10.60.7.119 | ZHE |
| 2026-10-06T04:50:27Z | 4624 | ZHE-DC-01 | ZHE-SRV-FILE$ | 10.60.7.46 | ZHE |
| 2026-10-06T04:50:41Z | 4624 | ZHE-WS-14 | e.beketov | 10.60.7.66 | ZHE |
| 2026-10-06T05:23:16Z | 4624 | ZHE-WS-58 | t.kaliev | 10.60.7.88 | ZHE |
| 2026-10-06T05:37:56Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.89 | ZHE |
| 2026-10-06T05:40:16Z | 4624 | ZHE-DC-01 | ZHE-WS-58$ | 10.60.7.54 | ZHE |
| 2026-10-06T05:49:33Z | 4624 | ZHE-DC-01 | ZHE-SRV-APP$ | 10.60.7.93 | ZHE |
| 2026-10-06T05:54:58Z | 4624 | ZHE-DC-01 | ZHE-WS-52$ | 10.60.7.85 | ZHE |
| 2026-10-06T06:07:28Z | 4624 | ZHE-WS-58 | s.isaeva | 10.60.7.47 | ZHE |
| 2026-10-06T06:14:02Z | 4624 | ZHE-WS-19 | r.tleubaev | 10.60.7.100 | ZHE |
| 2026-10-06T06:16:22Z | 4624 | ZHE-DC-01 | ZHE-WS-52$ | 10.60.7.36 | ZHE |
| 2026-10-06T06:16:45Z | 4625 | ZHE-WS-19 | r.tleubaev | 10.60.7.90 | ZHE |
| 2026-10-06T06:18:45Z | 4624 | ZHE-WS-19 | r.tleubaev | 10.60.7.90 | ZHE |
| 2026-10-06T06:35:48Z | 4625 | ZHE-WS-14 | e.beketov | 10.60.7.103 | ZHE |
| 2026-10-06T06:36:48Z | 4624 | ZHE-WS-14 | e.beketov | 10.60.7.103 | ZHE |
| 2026-10-06T06:58:09Z | 4624 | ZHE-DC-01 | ZHE-SRV-APP$ | 10.60.7.82 | ZHE |
| 2026-10-06T06:58:36Z | 4624 | ZHE-WS-52 | a.serik | 10.60.7.101 | ZHE |
| 2026-10-06T07:01:30Z | 4624 | ZHE-DC-01 | ZHE-WS-38$ | 10.60.7.98 | ZHE |
| 2026-10-06T07:03:35Z | 4624 | ZHE-WS-19 | r.tleubaev | 10.60.7.53 | ZHE |
| 2026-10-06T07:14:55Z | 4624 | ZHE-WS-14 | e.beketov | 10.60.7.55 | ZHE |
| 2026-10-06T07:23:41Z | 4624 | ZHE-WS-14 | d.abdrah | 10.60.7.99 | ZHE |
| 2026-10-06T07:27:05Z | 4624 | ZHE-DC-01 | ZHE-SRV-FILE$ | 10.60.7.36 | ZHE |
| 2026-10-06T07:28:28Z | 4624 | ZHE-WS-58 | t.kaliev | 10.60.7.30 | ZHE |
| 2026-10-06T07:30:12Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.95 | ZHE |
| 2026-10-06T07:30:37Z | 4624 | ZHE-DC-01 | ZHE-WS-38$ | 10.60.7.114 | ZHE |
| 2026-10-06T07:36:17Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.114 | ZHE |
| 2026-10-06T07:47:09Z | 4624 | ZHE-SRV-FILE | a.zhuma | 10.60.7.33 | ZHE |
| 2026-10-06T07:51:30Z | 4624 | ZHE-WS-14 | d.abdrah | 10.60.7.42 | ZHE |
| 2026-10-06T08:08:50Z | 4624 | ZHE-WS-38 | m.nurpeis | 10.60.7.115 | ZHE |
| 2026-10-06T08:14:07Z | 4624 | ZHE-WS-14 | e.beketov | 10.60.7.96 | ZHE |
| 2026-10-06T08:25:29Z | 4624 | ZHE-DC-01 | ZHE-WS-38$ | 10.60.7.95 | ZHE |
| 2026-10-06T08:27:02Z | 4624 | ZHE-DC-01 | ZHE-WS-47$ | 10.60.7.58 | ZHE |
| 2026-10-06T08:42:28Z | 4624 | ZHE-WS-19 | r.tleubaev | 10.60.7.63 | ZHE |
| 2026-10-06T09:00:33Z | 4624 | ZHE-SRV-FILE | a.zhuma | 10.60.7.33 | ZHE |
| 2026-10-06T09:06:08Z | 4624 | ZHE-WS-58 | s.isaeva | 10.60.7.97 | ZHE |
| 2026-10-06T09:13:00Z | 4624 | ZHE-DC-01 | ZHE-WS-14$ | 10.60.7.71 | ZHE |
| 2026-10-06T09:28:59Z | 4624 | ZHE-DC-01 | ZHE-WS-52$ | 10.60.7.108 | ZHE |
| 2026-10-06T09:39:10Z | 4625 | ZHE-WS-52 | a.serik | 10.60.7.70 | ZHE |
Вопросы
0/8 · 0/110 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
С какого внутреннего адреса пробовали войти под десятками разных учётных записей?
Формат: IPv4-адрес · 10 очков
Сколько разных учётных записей пробовали с этого адреса?
Формат: Целое число · 15 очков
Под какой учётной записью вход удался?
Формат: Имя учётной записи · 15 очков
Когда вход удался? Время UTC.
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 15 очков
К скольким разным сетевым папкам обращалась эта учётная запись после входа?
Формат: Целое число · 15 очков
Сколько байт наружу отправил самый крупный сеанс с этого же адреса?
Формат: Целое число байт · 20 очков
На какой внешний адрес ушли эти данные?
Формат: IPv4-адрес · 10 очков
Какой техникой MITRE ATT&CK описывается перебор одного пароля по многим учётным записям?
Формат: Идентификатор вида T1234.005 · 10 очков