Расследование инцидента: цепочка атаки
Вы — аналитик SOC второй линии компании «Север». В 11:18 бухгалтерская компания, обслуживающая организацию, сообщила о переводе 4 850 000 ₽ с расчётного счёта на ранее неизвестные реквизиты. Финансовый директор не подтверждает согласование платежа. Это единственный установленный на старте факт. Используйте журналы SIEM, чтобы выяснить, кто и через какие системы инициировал платёж, а затем восстановить всю предшествующую цепочку событий и возможный способ проникновения. Не считайте никакое событие вредоносным без анализа связей.
Инфраструктура
Домен: CORP.SEVER.LOCAL · Контроллеры домена: DC-01, DC-02 · Файловый сервер: FS-01 · Сервер приложений: APP-01 · Рабочие станции: WS-001…WS-080 · Сегмент рабочих станций: 10.20.10.0/24 · Серверный сегмент: 10.20.30.0/24.
Доступны журналы почтового шлюза, web-proxy, Windows Security, Sysmon, DNS, VPN, межсетевого экрана, корпоративной платёжной системы и бухгалтерского провайдера. Администраторы регулярно выполняют удалённые подключения, а сотрудники получают внешние письма и скачивают файлы.
Как проводить расследование
- Начните с уведомления бухгалтерской компании о неподтверждённом переводе в 11:18. Найдите связанные платёжные операции, сеансы и устройства.
- Двигайтесь назад во времени, сопоставляя события SIEM, идентификаторы платежей и сеансов, пользователей, хосты, IP-адреса и процессы. При необходимости сверяйтесь с реестром активов.
- Отмечайте значимые записи и собирайте доказательную цепочку, не включая в неё все необычные события подряд.
- Подготовьте заключение: как инициирован платёж, какие системы оказались затронуты и как начался инцидент.
Поиск работает по всем полям, включая подробности. Нажмите на строку для анализа события.
| Время | Источник | Хост | IP хоста | Event ID | Нормализованное событие |
|---|
Подсказки 0/10
Выберите, на каком этапе атаки нужна помощь. Каждая новая подсказка уменьшает итоговый результат расследования на 75 баллов (из 1000). Уже купленные подсказки можно перечитывать бесплатно.
Реестр активов компании
Справочная информация CMDB: назначение систем, сетевые адреса, ответственные подразделения и критичность. Реестр отражает известную инфраструктуру, а не результаты расследования.
| Актив | IP-адрес | Тип | Назначение / описание | Ответственное подразделение | Критичность |
|---|
Для рабочих станций использован учебный инвентарный диапазон WS-001–WS-080. Записи реестра не маркируют активы как скомпрометированные.
Моё расследование
Добавленные события SIEM отображаются в обратном хронологическом порядке — от поздних к ранним. Исключайте ложные следы и запишите собственную версию произошедшего.
Аналитическое заключение
Проверка расследования
Проверка сравнивает выбранные события SIEM с ключевыми этапами учебного сценария. Расследование ведётся от обнаруженного перевода к первоначальному проникновению. Оценка покажет только количество верно найденных ключевых событий, без раскрытия эталона.