One Day Offer: шанс стать частью команды BI.ZONE SOC и бесплатно попасть на OFFZONE 2023

1

В одной компании произошел инцидент. Администратор вовремя запустил запись сетевого трафика на контроллере домена. Все происходило в нерабочее время, легитимной активности сотрудников не зафиксировано. 

Расследуйте этот случай: проанализируйте предоставленные данные, установите, как злоумышленники провели атаку, и опишите ее основные шаги

2

Администраторы зафиксировали внеплановую перезагрузку хоста. Пока искали ее причину, на хосте обнаружили отключенный антивирус. Никто из сотрудников антивирус не отключал, поэтому решили передать логи специалистам для анализа.

Ваше задание:

1. По логам выясните назначение скомпрометированного хоста.
2. Укажите, как злоумышленнику удалось во время атаки получить доступ к скомпрометированному хосту.
3. Определите IP-адрес атакующего.
4. Выясните, какая учетная запись была скомпрометирована в результате атаки.
5. Объясните, как преступник нарушил работоспособность антивируса после входа на скомпрометированный хост.
6. Опишите, как злоумышленник получил права локального администратора в системе.
7. Укажите, какое вредоносное воздействие (impact) атака нанесла компании.
8. Опишите kill chain атакующего во времени, указав шаги и инструменты преступника

3

В нашу компанию обратилась одна из школ чародейства и волшебства. Главный администратор расследовал инцидент, связанный с одним из компьютеров школы, но перестал выходить на связь. Все, что он успел сделать, — это снять дамп оперативной памяти (RAM) и оставить странную записку: «Win10x64_17763».

Помогите нам разобраться в этой проблеме.

1. Выясните наименование хоста (изначальное и конечное).
2. Определите IP-адрес хоста.
3. Укажите путь до вредоносного файла.
4. Опишите, как этот файл попал на хост.
5. Соберите максимум информации о вредоносном файле (активность, запущенные процессы, загруженные библиотеки и т. д.).
6. Выясните, к какому семейству относится вредоносный файл

4

В телеграм-каналах появились посты о том, что злоумышленники якобы полностью скомпрометировали инфраструктуру одной известной организации. В качестве доказательств они опубликовали часть email-переписки сотрудников этой компании.

Во время расследования администратор выгрузил часть файлов с событиями сервера Exchange. Проанализируйте предоставленные артефакты и установите, был ли почтовый сервер затронут атакой. Если он был скомпрометирован, опишите все действия атакующих на этом сервере

5

При выполнении технических работ администратор обнаружил странный ELF-файл.

1. Проведите статический и динамический анализ этого файла.
2. Опишите поведение вредоносного файла.
3. Наложите активность файла на MITRE ATT&CK.
4. Выясните, используются ли какие-либо методы обфускации или AntiRE\AntiDebug.
5. Определите характерные строки.
6. Укажите все IoC

6

По скриншотам событий из встроенных журналов Windows и Sysmon определите характер происходившей активности. Опишите, что произошло, легитимная ли это активность, что означают те или иные команды, а также укажите тактики и техники MITRE ATT&CK по каждому представленному событию

7

В компании «Рога и копыта» IT-администратор обнаружил, что от одного из внутренних серверов не поступает информация о потреблении ресурсов системы. В ходе разбирательства выявили, что средство сбора такой информации было выключено, а сервер потреблял много ресурсов CPU. Администратор обнаружил на сервере майнер, который потреблял все доступные ресурсы. Согласовав действия с отделом кибербезопасности, администратор завершил процесс майнера и собрал артефакты для расследования.

Выясните:

1. Назначение скомпрометированного сервера.
2. IP-адрес злоумышленника во время атаки.
3. Каким инструментом атакующий сканировал внутренний сервер компании.
4. Как преступник получил начальный доступ к внутреннему серверу.
5. Название веб-шелла, который использовал злоумышленник для доступа к серверу.
6. С помощью какого инструмента атакующий искал уязвимости и небезопасные настройки на сервере.
7. Как преступник получил права суперпользователя на сервере.
8. Название процесса майнера, который был запущен на сервере

8

К вам как специалисту центра мониторинга обратился заказчик. Он недавно приобрел услуги вашей компании, и теперь ему нужно подключить мониторинг IT-инфраструктуры. Заказчик передал список потенциальных источников событий, которые можно подключить к SIEM-системе.

На основе списка источников составьте таблицу с порядком их подключения. Для каждого источника укажите:

1. Приоритет подключения (1, 2, 3).
2. Краткое обоснование, почему вы считаете, что источник нужно подключить именно в этой приоритетной группе. Если вы решите, что источник совсем не нужно подключать, также обоснуйте это

9

Появилась информация, что группа злоумышленников собирается атаковать инфраструктуру одного из клиентов центра мониторинга. Атакующие используют Sliver в качестве C2-фреймворка. Предложите как можно больше детектирующих правил для выявления этого вредоносного ПО. Их можно описать в синтаксисе правил корреляции для одной из SIEM, а также в формате Sigma или псевдологики

10

В центр мониторинга обратилась организация, пострадавшая от атаки Ransomware. Сейчас последствия инцидента устранены, но есть риск повторных атак в будущем. Предложите рекомендации по повышению уровня защищенности инфраструктуры Active Directory, выполнение которых помешает атакующим быстро скомпрометировать домен повторно