← Лабы
СетьСредняяБесплатно
Тихий маяк
Компания: ТОО «Меркур Ритейл»
50 мин7 вопросов110 очковMITRE ATT&CK:T1071T1041T1571
Вводная
Вы разбираете суточную выгрузку соединений. ТОО «Меркур Ритейл» — розничная сеть. Сетевой инженер заметил, что ночью, когда офис пуст, наружу продолжает идти трафик, и передал выгрузку вам.
Содержимого пакетов здесь нет — только кто, куда, когда и сколько байт. Этого достаточно: регулярность и объём видны и без расшифровки, а большая часть трафика всё равно зашифрована.
Начните с того, что ищите не крупное, а ровное: человек не открывает соединение каждые несколько минут с точностью до секунды.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
Кадры в PCAP обрезаны при снятии до 96 байт, как на настоящем периметре: заголовков хватает для разбора, длина на проводе проставлена честно, поэтому объёмы в Statistics → Conversations совпадают с таблицей.
168 соединений
| Протокол | Детали | ||||
|---|---|---|---|---|---|
| 2026-09-21T04:45:57Z | 10.30.5.11:53991 | 203.0.113.22:443 | tcp/ssl | 51 948 ↑ 380 950 ↓ | TLS · корпоративный портал · 2 s |
| 2026-09-21T04:46:18Z | 10.30.5.55:52507 | 192.0.2.41:80 | tcp/http | 15 315 ↑ 176 128 ↓ | HTTP · проверка доступности сети · 2 s |
| 2026-09-21T04:46:30Z | 10.30.5.73:61452 | 192.0.2.40:443 | tcp/ssl | 44 070 ↑ 231 368 ↓ | TLS · видеоконференции · 19 s |
| 2026-09-21T04:53:17Z | 10.30.5.11:63795 | 192.0.2.41:80 | tcp/http | 28 263 ↑ 189 146 ↓ | HTTP · проверка доступности сети · 16 s |
| 2026-09-21T05:20:39Z | 10.30.5.42:63359 | 203.0.113.20:443 | tcp/ssl | 3 391 ↑ 53 125 ↓ | TLS · обновления ОС · 6 s |
| 2026-09-21T05:26:30Z | 10.30.5.11:65449 | 192.0.2.40:443 | tcp/ssl | 3 623 ↑ 56 766 ↓ | TLS · видеоконференции · 6 s |
| 2026-09-21T05:28:32Z | 10.30.5.24:64947 | 203.0.113.22:443 | tcp/ssl | 11 224 ↑ 175 835 ↓ | TLS · корпоративный портал |
| 2026-09-21T05:28:46Z | 10.30.5.88:55360 | 203.0.113.21:443 | tcp/ssl | 32 150 ↑ 197 495 ↓ | TLS · почтовый клиент · 8 s |
| 2026-09-21T05:30:29Z | 10.30.5.11:64660 | 192.0.2.41:80 | tcp/http | 14 132 ↑ 68 997 ↓ | HTTP · проверка доступности сети · 14 s |
| 2026-09-21T05:35:44Z | 10.30.5.73:59910 | 203.0.113.20:443 | tcp/ssl | 11 892 ↑ 186 302 ↓ | TLS · обновления ОС · 20 s |
| 2026-09-21T05:41:57Z | 10.30.5.64:57946 | 203.0.113.20:443 | tcp/ssl | 28 148 ↑ 440 980 ↓ | TLS · обновления ОС · 13 s |
| 2026-09-21T05:46:30Z | 10.30.5.64:60389 | 203.0.113.22:443 | tcp/ssl | 41 638 ↑ 235 947 ↓ | TLS · корпоративный портал · 7 s |
| 2026-09-21T05:55:02Z | 10.30.5.31:61827 | 192.0.2.40:443 | tcp/ssl | 24 007 ↑ 242 741 ↓ | TLS · видеоконференции · 3 s |
| 2026-09-21T06:16:04Z | 10.30.5.64:53844 | 192.0.2.41:80 | tcp/http | 2 716 ↑ 27 463 ↓ | HTTP · проверка доступности сети · 4 s |
| 2026-09-21T06:35:48Z | 10.30.5.55:64918 | 203.0.113.21:443 | tcp/ssl | 6 785 ↑ 49 758 ↓ | TLS · почтовый клиент · 22 s |
| 2026-09-21T06:42:16Z | 10.30.5.88:61758 | 192.0.2.40:443 | tcp/ssl | 47 730 ↑ 293 197 ↓ | TLS · видеоконференции · 6 s |
| 2026-09-21T06:44:32Z | 10.30.5.55:55889 | 192.0.2.40:443 | tcp/ssl | 29 058 ↑ 386 055 ↓ | TLS · видеоконференции · 5 s |
| 2026-09-21T06:48:29Z | 10.30.5.24:54005 | 203.0.113.21:443 | tcp/ssl | 32 788 ↑ 435 614 ↓ | TLS · почтовый клиент · 20 s |
| 2026-09-21T06:49:11Z | 10.30.5.24:57982 | 203.0.113.20:443 | tcp/ssl | 53 336 ↑ 327 638 ↓ | TLS · обновления ОС · 4 s |
| 2026-09-21T06:54:06Z | 10.30.5.55:56274 | 192.0.2.40:443 | tcp/ssl | 54 969 ↑ 288 589 ↓ | TLS · видеоконференции · 3 s |
| 2026-09-21T07:22:06Z | 10.30.5.96:61094 | 203.0.113.21:443 | tcp/ssl | 39 240 ↑ 262 604 ↓ | TLS · почтовый клиент · 5 s |
| 2026-09-21T07:22:11Z | 10.30.5.31:63889 | 203.0.113.21:443 | tcp/ssl | 31 647 ↑ 154 514 ↓ | TLS · почтовый клиент · 6 s |
| 2026-09-21T07:23:37Z | 10.30.5.73:59756 | 203.0.113.21:443 | tcp/ssl | 15 135 ↑ 237 122 ↓ | TLS · почтовый клиент · 22 s |
| 2026-09-21T07:25:33Z | 10.30.5.11:52269 | 192.0.2.40:443 | tcp/ssl | 45 155 ↑ 255 876 ↓ | TLS · видеоконференции · 21 s |
| 2026-09-21T07:33:07Z | 10.30.5.55:53767 | 192.0.2.40:443 | tcp/ssl | 54 361 ↑ 363 799 ↓ | TLS · видеоконференции · 3 s |
| 2026-09-21T07:37:40Z | 10.30.5.64:54326 | 192.0.2.41:80 | tcp/http | 45 773 ↑ 223 480 ↓ | HTTP · проверка доступности сети · 7 s |
| 2026-09-21T07:42:10Z | 10.30.5.96:56640 | 192.0.2.41:80 | tcp/http | 8 805 ↑ 116 985 ↓ | HTTP · проверка доступности сети · 13 s |
| 2026-09-21T07:43:03Z | 10.30.5.42:52464 | 192.0.2.41:80 | tcp/http | 54 101 ↑ 306 572 ↓ | HTTP · проверка доступности сети · 22 s |
| 2026-09-21T07:44:45Z | 10.30.5.73:56417 | 203.0.113.22:443 | tcp/ssl | 39 861 ↑ 358 749 ↓ | TLS · корпоративный портал · 9 s |
| 2026-09-21T07:56:50Z | 10.30.5.42:58866 | 192.0.2.41:80 | tcp/http | 26 333 ↑ 149 222 ↓ | HTTP · проверка доступности сети · 12 s |
| 2026-09-21T08:05:06Z | 10.30.5.31:49344 | 203.0.113.21:443 | tcp/ssl | 52 396 ↑ 350 648 ↓ | TLS · почтовый клиент · 23 s |
| 2026-09-21T08:09:36Z | 10.30.5.73:62729 | 203.0.113.22:443 | tcp/ssl | 61 865 ↑ 380 031 ↓ | TLS · корпоративный портал · 4 s |
| 2026-09-21T08:11:35Z | 10.30.5.31:55175 | 203.0.113.21:443 | tcp/ssl | 63 951 ↑ 392 843 ↓ | TLS · почтовый клиент · 14 s |
| 2026-09-21T08:16:35Z | 10.30.5.31:52278 | 192.0.2.40:443 | tcp/ssl | 63 094 ↑ 287 429 ↓ | TLS · видеоконференции · 24 s |
| 2026-09-21T08:19:04Z | 10.30.5.64:63825 | 203.0.113.21:443 | tcp/ssl | 60 099 ↑ 369 180 ↓ | TLS · почтовый клиент · 2 s |
| 2026-09-21T08:19:46Z | 10.30.5.24:64391 | 192.0.2.41:80 | tcp/http | 28 624 ↑ 257 613 ↓ | HTTP · проверка доступности сети · 8 s |
| 2026-09-21T08:21:49Z | 10.30.5.24:53289 | 203.0.113.20:443 | tcp/ssl | 23 765 ↑ 108 261 ↓ | TLS · обновления ОС · 19 s |
| 2026-09-21T08:32:36Z | 10.30.5.31:49317 | 192.0.2.40:443 | tcp/ssl | 24 406 ↑ 197 465 ↓ | TLS · видеоконференции · 17 s |
| 2026-09-21T08:32:38Z | 10.30.5.24:60263 | 203.0.113.22:443 | tcp/ssl | 15 957 ↑ 98 024 ↓ | TLS · корпоративный портал · 23 s |
| 2026-09-21T08:32:42Z | 10.30.5.96:57253 | 192.0.2.40:443 | tcp/ssl | 65 479 ↑ 402 228 ↓ | TLS · видеоконференции · 2 s |
| 2026-09-21T08:33:31Z | 10.30.5.31:59091 | 192.0.2.40:443 | tcp/ssl | 37 551 ↑ 275 376 ↓ | TLS · видеоконференции · 3 s |
| 2026-09-21T08:34:04Z | 10.30.5.73:61113 | 192.0.2.40:443 | tcp/ssl | 16 242 ↑ 119 105 ↓ | TLS · видеоконференции · 6 s |
| 2026-09-21T09:05:24Z | 10.30.5.42:64927 | 203.0.113.22:443 | tcp/ssl | 10 094 ↑ 81 670 ↓ | TLS · корпоративный портал · 13 s |
| 2026-09-21T09:07:19Z | 10.30.5.11:52411 | 203.0.113.22:443 | tcp/ssl | 44 179 ↑ 201 262 ↓ | TLS · корпоративный портал · 21 s |
| 2026-09-21T09:11:18Z | 10.30.5.11:57314 | 203.0.113.20:443 | tcp/ssl | 11 731 ↑ 118 610 ↓ | TLS · обновления ОС · 10 s |
| 2026-09-21T09:31:31Z | 10.30.5.88:53207 | 203.0.113.21:443 | tcp/ssl | 14 343 ↑ 190 562 ↓ | TLS · почтовый клиент · 3 s |
| 2026-09-21T09:32:47Z | 10.30.5.42:50580 | 203.0.113.21:443 | tcp/ssl | 40 235 ↑ 196 441 ↓ | TLS · почтовый клиент · 18 s |
| 2026-09-21T09:54:44Z | 10.30.5.73:54764 | 203.0.113.21:443 | tcp/ssl | 2 447 ↑ 38 336 ↓ | TLS · почтовый клиент · 9 s |
| 2026-09-21T09:57:00Z | 10.30.5.73:49197 | 203.0.113.22:443 | tcp/ssl | 20 776 ↑ 325 495 ↓ | TLS · корпоративный портал · 18 s |
| 2026-09-21T09:58:36Z | 10.30.5.11:63910 | 192.0.2.40:443 | tcp/ssl | 20 817 ↑ 326 140 ↓ | TLS · видеоконференции · 24 s |
| 2026-09-21T10:16:10Z | 10.30.5.42:59216 | 203.0.113.22:443 | tcp/ssl | 41 142 ↑ 415 995 ↓ | TLS · корпоративный портал · 13 s |
| 2026-09-21T10:25:55Z | 10.30.5.24:63737 | 192.0.2.40:443 | tcp/ssl | 47 858 ↑ 233 661 ↓ | TLS · видеоконференции · 14 s |
| 2026-09-21T10:33:41Z | 10.30.5.31:61001 | 192.0.2.41:80 | tcp/http | 51 791 ↑ 379 798 ↓ | HTTP · проверка доступности сети |
| 2026-09-21T10:52:32Z | 10.30.5.88:52249 | 203.0.113.20:443 | tcp/ssl | 21 339 ↑ 120 923 ↓ | TLS · обновления ОС · 15 s |
| 2026-09-21T10:53:47Z | 10.30.5.64:51109 | 192.0.2.40:443 | tcp/ssl | 20 826 ↑ 326 273 ↓ | TLS · видеоконференции · 15 s |
| 2026-09-21T10:55:19Z | 10.30.5.73:59811 | 203.0.113.20:443 | tcp/ssl | 13 638 ↑ 122 739 ↓ | TLS · обновления ОС · 17 s |
| 2026-09-21T11:06:18Z | 10.30.5.64:53541 | 192.0.2.40:443 | tcp/ssl | 16 329 ↑ 255 820 ↓ | TLS · видеоконференции · 4 s |
| 2026-09-21T11:07:10Z | 10.30.5.55:54466 | 203.0.113.21:443 | tcp/ssl | 26 974 ↑ 131 699 ↓ | TLS · почтовый клиент · 18 s |
| 2026-09-21T11:13:38Z | 10.30.5.88:50718 | 192.0.2.41:80 | tcp/http | 24 730 ↑ 328 559 ↓ | HTTP · проверка доступности сети · 15 s |
| 2026-09-21T11:15:48Z | 10.30.5.42:51764 | 203.0.113.21:443 | tcp/ssl | 20 857 ↑ 168 755 ↓ | TLS · почтовый клиент · 22 s |
| 2026-09-21T11:20:18Z | 10.30.5.31:55699 | 203.0.113.22:443 | tcp/ssl | 33 288 ↑ 382 809 ↓ | TLS · корпоративный портал · 5 s |
| 2026-09-21T11:21:42Z | 10.30.5.73:57639 | 203.0.113.22:443 | tcp/ssl | 12 382 ↑ 60 456 ↓ | TLS · корпоративный портал · 3 s |
| 2026-09-21T11:30:09Z | 10.30.5.55:62893 | 192.0.2.41:80 | tcp/http | 47 877 ↑ 271 300 ↓ | HTTP · проверка доступности сети · 2 s |
| 2026-09-21T11:43:39Z | 10.30.5.42:50990 | 203.0.113.21:443 | tcp/ssl | 40 616 ↑ 185 031 ↓ | TLS · почтовый клиент · 5 s |
| 2026-09-21T11:47:15Z | 10.30.5.55:58717 | 192.0.2.40:443 | tcp/ssl | 34 085 ↑ 391 978 ↓ | TLS · видеоконференции · 23 s |
| 2026-09-21T12:07:53Z | 10.30.5.24:63520 | 203.0.113.22:443 | tcp/ssl | 47 595 ↑ 428 354 ↓ | TLS · корпоративный портал · 1 s |
| 2026-09-21T12:15:29Z | 10.30.5.64:58000 | 203.0.113.21:443 | tcp/ssl | 31 782 ↑ 180 100 ↓ | TLS · почтовый клиент · 2 s |
| 2026-09-21T12:25:40Z | 10.30.5.96:53199 | 203.0.113.20:443 | tcp/ssl | 17 277 ↑ 155 493 ↓ | TLS · обновления ОС · 6 s |
| 2026-09-21T12:32:55Z | 10.30.5.55:53768 | 192.0.2.41:80 | tcp/http | 2 690 ↑ 13 135 ↓ | HTTP · проверка доступности сети · 3 s |
| 2026-09-21T12:36:48Z | 10.30.5.11:50457 | 192.0.2.41:80 | tcp/http | 8 640 ↑ 48 962 ↓ | HTTP · проверка доступности сети · 3 s |
| 2026-09-21T12:40:58Z | 10.30.5.11:64120 | 203.0.113.20:443 | tcp/ssl | 38 608 ↑ 202 694 ↓ | TLS · обновления ОС · 21 s |
| 2026-09-21T12:41:00Z | 10.30.5.11:53162 | 192.0.2.41:80 | tcp/http | 34 562 ↑ 311 053 ↓ | HTTP · проверка доступности сети · 15 s |
| 2026-09-21T12:47:30Z | 10.30.5.96:58876 | 192.0.2.41:80 | tcp/http | 46 019 ↑ 337 469 ↓ | HTTP · проверка доступности сети · 16 s |
| 2026-09-21T12:57:18Z | 10.30.5.88:51064 | 203.0.113.20:443 | tcp/ssl | 36 944 ↑ 247 241 ↓ | TLS · обновления ОС · 7 s |
| 2026-09-21T18:04:20Z | 10.30.5.64:62400 | 10.30.5.5:53 | udp/dns | 78 ↑ 27 ↓ | DNS A? cdn-metrics.example |
| 2026-09-21T18:05:00Z | 10.30.5.64:62026 | 198.51.100.23:443 | tcp/ssl | 1 053 ↑ 145 ↓ | TLS · короткая сессия, ответ того же размера |
| 2026-09-21T18:10:02Z | 10.30.5.64:55960 | 198.51.100.23:443 | tcp/ssl | 1 260 ↑ 86 ↓ | TLS · короткая сессия, ответ того же размера |
| 2026-09-21T18:15:01Z | 10.30.5.64:53505 | 198.51.100.23:443 | tcp/ssl | 1 254 ↑ 115 ↓ | TLS · короткая сессия, ответ того же размера |
| 2026-09-21T18:20:02Z | 10.30.5.64:62416 | 198.51.100.23:443 | tcp/ssl | 1 123 ↑ 173 ↓ | TLS · короткая сессия, ответ того же размера |
| 2026-09-21T18:25:00Z | 10.30.5.64:56474 | 198.51.100.23:443 | tcp/ssl | 1 243 ↑ 90 ↓ | TLS · короткая сессия, ответ того же размера |
Вопросы
0/7 · 0/110 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Какой внутренний адрес обращается наружу через равные промежутки?
Формат: IPv4-адрес · 10 очков
К какому внешнему адресу идут эти соединения?
Формат: IPv4-адрес · 15 очков
С каким интервалом повторяются соединения? В секундах.
Формат: Целое число секунд · 20 очков
Какое имя запрашивалось в DNS перед первым таким соединением?
Формат: Доменное имя · 15 очков
Сколько байт ушло в самой крупной сессии к этому адресу?
Формат: Целое число байт · 20 очков
Какой хэш у процесса, стартовавшего на станции MER-WS-64 перед началом серии?
Формат: 64 шестнадцатеричных символа · 20 очков
Какой техникой MITRE ATT&CK описывается управляющий канал поверх обычного протокола?
Формат: Идентификатор вида T1234 · 10 очков