◈ R-Vision · Практическая сессия по ИБ
Практическое задание

Мониторинг угроз: анализ веб-событий

Перед вами журнал веб-сервера sweet-donut.rvn.lab. Среди обычных запросов встречаются следы атакующей активности. Ваша задача — найти подозрительные строки и правильно определить классы атак.

Работайте только с предоставленным журналом. Никаких проверок или атак на реальные системы проводить не нужно. Для каждой подозрительной строки назначьте один тег из предложенного списка. Выделите подозрительные строки и назначьте им соответствующие классы атак.

Правило задания: подозрительный запрос в рамках задания считается попыткой атаки, даже если сервер отверг его или злоумышленник не добился успеха. Разумная профессиональная паранойя полезна, но подозрение должно опираться на признаки в самой записи: не всякая необычная строка является атакой, а за ложные сигналы начисляется штраф. Для решения задания коррелировать несколько строк не требуется.
Строк в журнале—
Возможных классов—
Способ ответаРазметка журнала

Как работать

  1. Откройте интерактивный журнал. Сначала изучите назначение URL и параметры запросов, затем сформулируйте собственные поисковые гипотезы. Поиск работает по обычному тексту, без регулярных выражений.
  2. Выделяйте найденные строки по одной или группой. Назначайте класс атаки через список. Для каждой строки допускается один класс.
  3. Размечайте события в журнале, затем нажмите «Завершить и проверить». Промежуточные изменения сохраняются в браузере.
  4. После проверки результат появится в интерфейсе задания.

Как выставляются баллы

Максимум — 100 баллов. Главный приоритет — распознать как можно больше различных классов атак: до 70 баллов. Полнота обнаружения всех атакующих строк даёт ещё до 30 баллов. Баллы за разнообразие класса накапливаются за первые несколько правильно размеченных строк этого класса. За ложные срабатывания штраф выше, чем за неверно выбранный тег для настоящей атаки.

Точная формула и штрафные коэффициенты задаются организаторами для каждого варианта задания. Пустые строки журнала в CSV не включаются.