{"id":347704,"date":"2023-05-20T15:00:59","date_gmt":"2023-05-20T15:00:59","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=347704"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=347704","title":{"rendered":"<span>\u0410\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0441\u0435\u0442\u0438 \u0431\u0435\u0437 \u0441\u043c\u0441 \u0438 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/span>"},"content":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<p>\u041f\u0440\u0438\u0432\u0435\u0442 \u0425\u0430\u0431\u0440! \u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0434\u0435\u043b\u0430\u043b\u0438 \u043e\u0431\u0437\u043e\u0440 \u043d\u0430 opensource NTA \u2013 <a href=\"https:\/\/habr.com\/ru\/post\/676174\/\" rel=\"noopener noreferrer nofollow\"><u>Arkime<\/u><\/a>, \u0437\u0434\u0435\u0441\u044c \u043c\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043c \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0442\u044c NTA \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430 \u0438 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u043c \u043e\u0431 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0442\u0440\u0430\u0444\u0438\u043a\u0435.&nbsp; \u0422\u0435\u043a\u0443\u0449\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u0431\u0443\u0434\u0435\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0440\u043e\u0434\u0430 \u043e\u0431\u0437\u043e\u0440\u043e\u043c &#8212; \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0435\u0439 \u043f\u043e \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u044b.<\/p>\n<p>\u201c\u0418\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438\u201d Arkime \u043c\u043e\u0436\u0435\u0442 \u0432 YARA, \u043d\u043e \u0432 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0430\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 \u0431\u0443\u0434\u0435\u0442 \u043d\u0430 \u043c\u043e\u0449\u043d\u043e\u0441\u0442\u044f\u0445 \u043d\u043e\u0434 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u044f\u043c\u0438 (\u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u0442\u043e\u043a\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0421\u0423\u0429\u0415\u0421\u0422\u0412\u0415\u041d\u041d\u041e\u0413\u041e \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u044f \u043c\u043e\u0449\u043d\u043e\u0441\u0442\u0438 \u043d\u043e\u0434\u044b). \u0427\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043b\u043e\u0436\u0438\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0441 \u201c\u0431\u043e\u043b\u044c\u043d\u043e\u0439 \u0433\u043e\u043b\u043e\u0432\u044b\u201d \u043d\u0430 \u201c\u0437\u0434\u043e\u0440\u043e\u0432\u0443\u044e\u201d \u043c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043f\u0440\u0438\u043a\u0440\u0443\u0442\u0438\u0442\u044c <a href=\"https:\/\/github.com\/target\/strelka\" rel=\"noopener noreferrer nofollow\"><u>Strelka<\/u><\/a>.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/930\/a1b\/00b\/930a1b00b22c551121e4aab7d032bbe2.png\" width=\"472\" height=\"381\"><\/figure>\n<h3>Strelka<\/h3>\n<p>\u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0436\u0435 \u0442\u0430\u043a\u043e\u0435 <a href=\"https:\/\/target.github.io\/strelka\/#\/\" rel=\"noopener noreferrer nofollow\">Strelka<\/a>? \u041a\u0430\u043a \u0437\u0430\u044f\u0432\u043b\u044f\u0435\u0442 \u043a\u043e\u043c\u044c\u044e\u043d\u0438\u0442\u0438 &#8212; \u044d\u0442\u043e \u044d\u043d\u0442\u0435\u0440\u043f\u0440\u0430\u0439\u0437 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u043f\u043e\u0438\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e YARA \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 (\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e) \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 (\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u0435 \u0434\u0435\u043b\u043e, \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u0432). \u0410\u0433\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Go Lang, \u0447\u0442\u043e \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043a\u0440\u043e\u0441\u0441\u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435\u043d\u043d\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438. \u041d\u0430\u0433\u043b\u044f\u0434\u043d\u044b\u0439 usecase &#8212; \u043f\u043e\u0438\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u043e\u0448\u0435\u043b \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b, \u043d\u043e \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u0430. \u041d\u0430 \u0444\u0430\u0439\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 YARA \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0443 \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u0432\u0441\u0435\u043c \u0430\u0433\u0435\u043d\u0442\u0430\u043c \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0439 \u043a\u0435\u0439\u0441 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0447\u0443\u0442\u044c \u0434\u0430\u043b\u044c\u0448\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435. <\/p>\n<p>\u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u043e Strelka \u043c\u0430\u043b\u043e \u043a\u0442\u043e \u0437\u043d\u0430\u0435\u0442 \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0432 \u0421\u041d\u0413. \u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0432 \u044d\u0442\u043e\u043c \u043d\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e \u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e &#8212; \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0442\u0430\u043a\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432\u043e\u0437\u043b\u0430\u0433\u0430\u044e\u0442 \u043d\u0430 \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b\u0435 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u044f (\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b, EDR \u0438 \u043f\u0440.),&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0441\u0430\u043c\u043e\u043f\u0438\u0441\u043d\u043e\u0435<s>, \u043b\u0438\u0431\u043e \u0432\u043e\u0432\u0441\u0435 \u043d\u0435 \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043e \u0442\u0430\u043a\u0438\u0445 \u0437\u0430\u0434\u0430\u0447\u0430\u0445<\/s>.<\/p>\n<p>\u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e Strelka \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u043b\u0430\u0441\u044c \u043a\u0430\u043a \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0443, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 IDS\/IPS \u0441\u0435\u043d\u0441\u043e\u0440\u0430\u0445, \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b \u043d\u0430\u043c \u0438 \u043d\u0443\u0436\u0435\u043d \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044f \u043d\u0430\u0448\u0435\u0433\u043e NTA \u2013 Arkime.<\/p>\n<p>\u0418\u0437 \u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u043e \u043f\u0440\u0438\u044f\u0442\u043d\u044b\u0445 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 &#8212; \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u043f\u0435\u0441\u043e\u043a \u0434\u043b\u044f&nbsp; \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 Cuckoo sandbox, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u043a\u0440\u0443\u0442\u0438\u0442\u044c \u043b\u044e\u0431\u043e\u0439 \u0434\u0440\u0443\u0433\u043e\u0439, \u0435\u0441\u043b\u0438 \u0432\u044b \u0443\u043c\u0435\u0435\u0442\u0435 \u0432 Python). \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0442\u0430\u043a\u0443\u044e \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0435\u0441\u043e\u043a \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 \u0444\u0430\u0439\u043b\u043e\u0432.<\/p>\n<p>\u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430 Strelka \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0433\u0438\u0431\u043a\u0430\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u043a\u0430\u043a \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0443\u044e \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044e \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432, \u0442\u0430\u043a \u0438 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u0443\u044e \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044e \u0434\u043b\u044f \u043a\u0440\u043e\u0432\u0430\u0432\u043e\u0433\u043e \u044d\u043d\u0442\u0435\u0440\u043f\u0440\u0430\u0439\u0437\u0430 (\u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u0432).<\/p>\n<h3>\u0412 \u0447\u0435\u043c \u043f\u0440\u043e\u0444\u0438\u0442?<\/h3>\n<p>\u0412\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043f\u043e\u043b\u043d\u0435 \u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441 &#8212; \u0437\u0430\u0447\u0435\u043c \u0432\u043e\u0432\u0441\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435, \u043a\u043e\u0433\u0434\u0430 \u0435\u0441\u0442\u044c EDR\/\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441 \u0438 \u043f\u0440\u043e\u0447\u0438\u0435 \u0421\u0417\u0418 \u0441 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u043e\u043c (\u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 146% \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u0442\u0443\u043b\u0430\u043c\u0438)?<\/p>\n<p>\u041e\u0442\u0432\u0435\u0447\u0443 \u0441\u043f\u0438\u0441\u043a\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u043a\u0440\u043e\u044e \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435:<\/p>\n<ol>\n<li>\n<p>\u041b\u044e\u0431\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043c\u043e\u0436\u0435\u0442 \u0431\u0435\u0441\u0441\u043b\u0435\u0434\u043d\u043e \u0438\u0441\u0447\u0435\u0437\u043d\u0443\u0442\u044c \u043d\u0430 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430\u0445 \u0434\u043e \u0435\u0433\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u043d\u043e \u043d\u0435 \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0445\u0432\u0430\u0447\u0435\u043d NTA;<\/p>\n<\/li>\n<li>\n<p>\u0422\u043e\u0447\u043d\u043e\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043e\u0442\u043a\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u0438 \u043a\u043e\u0433\u0434\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b;<\/p>\n<\/li>\n<li>\n<p>\u041c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u043b\u0438 \u0444\u0430\u0439\u043b \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0442 \u043e\u0434\u043d\u043e\u0433\u043e \u0443\u0437\u043b\u0430 \u043a \u0434\u0440\u0443\u0433\u043e\u043c\u0443;<\/p>\n<\/li>\n<li>\n<p>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 Lateral Movement (\u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u043f\u0440\u043e\u0441\u0442\u043e latmov);<\/p>\n<\/li>\n<li>\n<p>\u041f\u0435\u0440\u0435\u0434\u0430\u0447\u0430 \u0444\u0430\u0439\u043b\u0430 \u0441 \u043c\u0430\u0448\u0438\u043d\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u043e\u0448\u043b\u0430 \u0432 0,00001% \u0431\u0435\u0437 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u0421\u0417\u0418 (\u0438\u043b\u0438 \u0432\u043e\u0432\u0441\u0435 \u043d\u0435 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439);<\/p>\n<\/li>\n<li>\n<p>\u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u044f \u0438 \u0443\u043f\u0440\u043e\u0449\u0435\u043d\u0438\u0435 \u0440\u0443\u0442\u0438\u043d\u043d\u044b\u0445 \u0437\u0430\u0434\u0430\u0447 Detection Engineering\u2019\u0430 (\u0443\u0434\u043e\u0431\u043d\u043e \u0441\u043a\u0430\u0440\u043c\u043b\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b \u0441\u0442\u0440\u0435\u043b\u043a\u0435 \u0438 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0443\u0434\u043e\u0431\u043d\u043e (\u043f\u043e\u0447\u0442\u0438) \u0440\u0430\u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 JSON\u2019e, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b \u0438 \u043a\u0443\u0434\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u0445\u043e\u0442\u0438\u0442\u0435).<\/p>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>TL;DR \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435:<\/summary>\n<div class=\"spoiler__content\">\n<ol>\n<li>\n<p>\u041a\u0430\u043a \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e, \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b \u043d\u0435 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0441\u0435\u0440\u0435\u0431\u0440\u044f\u043d\u043e\u0439 \u043f\u0443\u043b\u0435\u0439 \u043e\u0442 \u0432\u0441\u0435\u0445 \u0431\u043e\u043b\u0435\u0437\u043d\u0435\u0439, \u0434\u0430 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u0430 \u0438\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u043d\u0435 \u043c\u0430\u043b\u043e. \u0425\u043e\u0440\u043e\u0448\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043a\u0440\u0430\u0441\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u044d\u0442\u0438\u0447\u043d\u044b\u0439 \u0445\u0430\u043a\u0435\u0440) \u0441\u043c\u043e\u0436\u0435\u0442 \u043b\u0435\u0433\u043a\u043e \u043e\u0431\u043e\u0439\u0442\u0438 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441 \u0434\u0430\u0436\u0435 \u0434\u043b\u044f \u0438\u0437\u0431\u0438\u0442\u043e\u0433\u043e \u0438 \u043e\u0442\u043b\u0438\u0447\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e mimikatz\u2019a. \u0410 \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0435 \u0440\u0435\u0431\u044f\u0442\u0430 \u0438\u0437 \u0410\u0420\u0422 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a \u0432\u043e\u0432\u0441\u0435 \u0441\u0442\u0430\u0440\u0430\u044e\u0442\u0441\u044f \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0432\u043e\u0438\u0445 \u0441\u043b\u0435\u0434\u043e\u0432. \u041f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043a\u0430\u043d\u0430\u043b\u043e\u043c \u0441\u0432\u043e\u0435\u0433\u043e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 smb \u0438\u043b\u0438 \u043b\u044e\u0431\u0438\u043c\u044b\u043c psexec\u2019\u043e\u043c) \u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u0441 \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u044b\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435\u043c, \u0432\u0440\u044f\u0434 \u043b\u0438 \u0443\u0434\u0430\u0441\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043e\u0431\u0440\u0430\u0437\u0435\u0446 \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 \u0446\u0435\u043b\u0435\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043e\u0434\u043d\u0430\u043a\u043e \u043e\u043d \u043e\u0441\u044f\u0434\u0435\u0442 \u043d\u0430 NTA \u0438 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d strelka. \u0418\u0437 \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0434\u0435\u0442\u0435\u043a\u0442 \u0438 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0435\u0442\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0430\u0433\u0435\u043d\u0442\u043e\u0432\/\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430 \u0438 \u043f\u0440, \u043d\u043e \u0438 \u043d\u0430 \u0441\u0435\u0442\u0438. \u0425\u043e\u0447\u0443 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0440\u0435\u0447\u044c \u0438\u0434\u0435\u0442 \u043d\u0435 \u043e \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u043e \u043d\u0430\u0441\u044b\u0449\u0435\u043d\u0438\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430 \u0432\u0430\u0436\u043d\u044b\u043c\u0438 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u043c\u0438, \u043e \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0440\u0435\u0441\u043f\u043e\u043d\u0437\u0435 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435, \u0447\u0442\u043e \u0432 \u0431\u0443\u0434\u0443\u0449\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u0442 \u043a \u0441\u0432\u043e\u0435\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u043c\u0443 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c\u0443 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e.<\/p>\n<\/li>\n<li>\n<p>\u0410\u0433\u0435\u043d\u0442\u044b \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043d\u0430\u0432\u0435\u0440\u043d\u044f\u043a\u0430 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443\u0442 \u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0442\u043e\u0433\u043e \u0438\u043b\u0438 \u0438\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043c\u0430\u043a\u0441\u0438\u043c\u0443\u043c &#8212; \u043f\u043e\u0434\u0441\u0432\u0435\u0442\u044f\u0442 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 (\u0432\u0441\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u043c \u043e Transfer Zone), \u043d\u043e \u0435\u0434\u0432\u0430 \u043b\u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443\u0442, \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u043e\u044f\u0432\u0438\u043b\u0441\u044f \u0444\u0430\u0439\u043b (\u0435\u0441\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0441\u0432\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c\u0438 \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u0433\u043e\u0432 \u0441 \u0445\u043e\u0441\u0442\u0430, \u0447\u0442\u043e \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0441\u0430\u043c\u043e\u0433\u043e \u0446\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u0438). \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0436\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 Strelk\u2019\u043e\u0439 &#8212; \u0443 \u0432\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435\u043e\u0441\u043f\u043e\u0440\u0438\u043c\u043e\u0435 \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u043e \u0434\u0430\u0442\u0435, \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u0432\u0435\u0434\u044c Strelka \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u0445\u044d\u0448\u0438). \u0422\u0430\u043a\u043e\u0439 \u043f\u043e\u0434\u0445\u043e\u0434 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u043e\u043a\u0440\u0430\u0449\u0430\u0435\u0442 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0430 \u043a\u0430\u043a \u043c\u044b \u0437\u043d\u0430\u0435\u043c,&nbsp; \u043f\u0440\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u043c \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438, \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0447\u0435\u043d\u044c \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u044b\u043c \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u043c &#8212; \u0438\u043d\u043e\u0433\u0434\u0430 \u0441\u0435\u043a\u0443\u043d\u0434\u044b \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0442, \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f \u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d \u0438\u043b\u0438 \u043d\u0435\u0442. <\/p>\n<\/li>\n<li>\n<p>\u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u0438\u0440\u0443\u0441\u044b \u043c\u043e\u0433\u0443\u0442 \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0441 \u0442\u0435\u0447\u0435\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438\u043b\u0438 \u0438\u043d\u044b\u043c\u0438 \u0444\u0430\u043a\u0442\u043e\u0440\u0430\u043c\u0438 (\u0440\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0434\u043b\u044f \u0438\u0437\u0431\u0435\u0436\u0430\u043d\u0438\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f), \u043d\u043e Strelka \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442 \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0444\u0430\u0439\u043b\u043e\u0432, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 imphash \u0438 \u043f\u0438\u0448\u0435\u0442 \u0435\u0433\u043e \u0432 \u043b\u043e\u0433 (imphash &#8212; \u044d\u0442\u043e \u0445\u044d\u0448 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430). \u041a\u0440\u043e\u043c\u0435 imphash \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f: \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430, \u0434\u043b\u044f \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u0431\u0438\u043d\u0430\u0440\u044c, \u0432\u0441\u0435 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0432\u0435\u0440\u0441\u0438\u044f, \u0446\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u0438 \u043f\u0440.), \u041e\u0421, \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a (\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0438) \u0438 \u043c\u043d\u043e\u0433\u0438\u0435 \u0434\u0440\u0443\u0433\u0438\u0435 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438. \u041f\u043e \u0442\u0430\u043a\u0438\u043c \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c YARA \u043f\u0440\u0430\u0432\u0438\u043b\u043e (\u0438\u043b\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438 &#8212; \u0432\u0435\u0434\u044c \u043b\u043e\u0433\u0438 Strelka \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 SIEM), \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043e\u043d \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f (\u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u0441\u043f\u0440\u0430\u0432\u0435\u0434\u043b\u0438\u0432\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u043e\u0439 \u043c\u0430\u043b\u0432\u0430\u0440\u0438 \u0434\u043b\u044f \u0438\u0437\u0431\u0435\u0436\u0430\u043d\u0438\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0434\u043b\u044f \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f imphash, \u043e\u0434\u043d\u0430\u043a\u043e \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u043e\u0432\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a).&nbsp;<\/p>\n<\/li>\n<li>\n<p>\u0412\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e latmov \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043b\u043e\u0433\u0430\u0445 \u0438 \u0441\u0430\u043c\u043e\u0439 \u0441\u0435\u0442\u0438, \u043e\u0434\u043d\u0430\u043a\u043e \u043a\u0430\u043a \u0431\u044b\u0442\u044c, \u043a\u043e\u0433\u0434\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0434\u043b\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b (\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u0447\u0442\u043e \u0431\u044b \u0443\u0441\u043b\u043e\u0436\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0442\u043d\u0438\u043a\u0430\u043c\u0438)? \u041f\u0440\u043e\u0444\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u0441\u043f\u0430\u0441\u0442\u0438 &#8212; \u0432\u0435\u0434\u044c \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u043e\u0432 \u0438 \u0441\u0435\u0442\u0438, \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u043d\u0438\u0447\u0435\u043c \u043d\u0435 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430. \u041e\u0434\u043d\u0430\u043a\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0443\u0442 \u043d\u0430 \u043f\u043e\u043c\u043e\u0449\u044c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 Strelka &#8212; \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u0432\u043e\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u0441\u0435\u0442\u0438 (\u0430 \u043a\u0430\u043a \u0438\u043d\u0430\u0447\u0435?), \u043e\u043d\u0438 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u044b. \u0421\u043e\u0433\u043b\u0430\u0441\u0438\u0442\u0435\u0441\u044c, \u0447\u0442\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0445\u0430\u043a\u0442\u0443\u043b\u044b \u0438 \u043c\u0430\u043b\u0432\u0430\u0440\u044c \u043f\u0440\u0438 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u0435\u043d\u0438\u0438 \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u044b\u0445 \u043e\u0431\u044f\u0437\u0430\u043d\u043d\u043e\u0441\u0442\u0435\u0439?<\/p>\n<\/li>\n<li>\n<p>\u0418\u0434\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442. \u041d\u0430\u0432\u0435\u0440\u043d\u044f\u043a\u0430 \u0434\u0430\u0436\u0435 \u0432 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0431\u0430\u043d\u043a\u0430\u0445 \u043c\u0438\u0440\u0430 \u043d\u0430\u0439\u0434\u0435\u0442\u0441\u044f 1 \u043c\u0430\u0448\u0438\u043d\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435\u0442 \u0421\u0417\u0418 \u0438\u043b\u0438 \u0432\u043d\u0435 \u0434\u043e\u043c\u0435\u043d\u0430, \u0438\u043b\u0438 \u0432\u043e\u0432\u0441\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e\u043c \u0432 \u0441\u0435\u0442\u044c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 raspberry pi, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u0430\u044f \u0432 RJ-45 \u0440\u043e\u0437\u0435\u0442\u043a\u0443 \u0441\u0435\u0442\u0438 ip-\u0442\u0435\u043b\u0435\u0444\u043e\u043d\u0438\u0438).&nbsp; \u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0421\u0417\u0418 \u0441\u043c\u043e\u0433\u0443\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c (<strong>\u0415\u0421\u041b\u0418<\/strong> \u0441\u043c\u043e\u0433\u0443\u0442) \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u0430\u043a\u0442 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u043d\u0430 \u0430\u0442\u0430\u043a\u0443\u0435\u043c\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435, \u043d\u043e Strelka \u0442\u043e\u0447\u043d\u043e \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u0442, \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u0442\u0430\u043a\u043e\u0439 \u0444\u0430\u0439\u043b. \u0412 \u0431\u043e\u043b\u0435\u0435 \u0437\u0440\u0435\u043b\u044b\u0445, \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0418\u0411, \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430\u0445 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0444\u0430\u043a\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0432 \u0441\u0435\u0442\u044c \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430, \u0447\u0442\u043e \u043f\u043e\u0441\u043b\u0443\u0436\u0438\u0442 \u0445\u043e\u0440\u043e\u0448\u0438\u043c \u043f\u043e\u0432\u043e\u0434\u043e\u043c \u0434\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f &#8212; \u043f\u0440\u0438 \u0442\u0430\u043a\u043e\u043c \u0440\u0430\u0441\u043a\u043b\u0430\u0434\u0435 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0439, Strelka \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u0442 \u0430\u043d\u0430\u043b\u0438\u0437 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u043d\u0435\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430.<\/p>\n<\/li>\n<\/ol>\n<\/div>\n<\/details>\n<p>\u0420\u0435\u0437\u044e\u043c\u0438\u0440\u0443\u044f, \u0432\u0441\u0435 \u044d\u0442\u0438 \u043f\u0443\u043d\u043a\u0442\u044b \u043c\u043e\u0436\u043d\u043e \u0441\u0432\u0435\u0441\u0442\u0438 \u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 \u043f\u0440\u043e\u0444\u0438\u0442\u0443:<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0423\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435 \u0432\u0438\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0441\u044b\u0449\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0432 \u0441\u0435\u0442\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043b\u044e\u0441\u043e\u0432 \u043d\u0435 \u043c\u0430\u043b\u043e, \u043e\u0434\u043d\u0430\u043a\u043e \u0435\u0441\u0442\u044c \u043e\u0447\u0435\u043d\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u043d\u044e\u0430\u043d\u0441, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0435, \u043e\u043d\u0438 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u044b <strong>\u041d\u0415\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c<\/strong> \u043a\u0430\u043d\u0430\u043b\u043e\u043c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0444\u0430\u0439\u043b \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u043f\u043e RDP \u0438\u043b\u0438 \u043f\u043e \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u043c\u0443 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0443 &#8212; \u0440\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u043e\u043d \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d). \u0412 \u043a\u043e\u043f\u0438\u043b\u043a\u0443 \u043c\u0438\u043d\u0443\u0441\u043e\u0432 \u043c\u043e\u0436\u043d\u043e \u0442\u0430\u043a \u0436\u0435 \u043e\u0442\u043d\u0435\u0441\u0442\u0438 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u0432 \u043b\u043e\u0433\u0430\u0445 Strelka \u0430\u0439\u043f\u0438\u0448\u043d\u0438\u043a\u043e\u0432, \u043e\u0442\u043a\u0443\u0434\u0430 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0432\u044b\u0434\u0435\u0440\u043d\u0443\u0442, \u041d\u041e! \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e logstash \u043e\u0431\u043e\u0433\u0430\u0442\u0438\u0442\u044c \u0442\u0430\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<h3>\u041f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043d\u043e\u0434\u044b \u0437\u0430\u0445\u0432\u0430\u0442\u0430 <\/h3>\n<details class=\"spoiler\">\n<summary>!!!\u0414\u0438\u0441\u043a\u043b\u0435\u0439\u043c\u0435\u0440!!! <\/summary>\n<div class=\"spoiler__content\">\n<p>\u041c\u044b \u043d\u0435 \u043f\u0440\u0435\u0442\u0435\u043d\u0434\u0443\u0435\u043c (\u0445\u043e\u0442\u044f \u0441\u0442\u0440\u0435\u043c\u0438\u043c\u0441\u044f \u043a \u043d\u0435\u0439) \u043d\u0430 \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e Suricata, Zeek, Strelka \u0438 \u0442\u0434, \u0430 \u0442\u0430\u043a \u0436\u0435 \u043d\u0430 \u043f\u043e\u043b\u043d\u043e\u0442\u0443 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u0442\u0440\u0435\u0431\u043d\u043e\u0441\u0442\u0435\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430. \u041c\u044b \u0442\u043e\u0447\u043d\u043e \u0437\u043d\u0430\u0435\u043c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0430\u0445, \u043d\u043e \u043c\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0447\u0430\u043b\u0438 \u0441\u0432\u043e\u0439 \u043f\u0443\u0442\u044c \u0438, \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c, \u043c\u044b \u0441\u0442\u0430\u043d\u0435\u043c \u043b\u0443\u0447\u0448\u0435, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435, \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0432\u0430\u0448\u0438\u043c \u0441\u043e\u0432\u0435\u0442\u0430\u043c \u0438 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f\u043c. \u201c\u0421\u043e\u0432\u0435\u0442 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u043c: \u043d\u0430\u0447\u043d\u0438\u0442\u0435\u201d (\u0441) \u0412\u0435\u043b\u0438\u043a\u0438\u0435 \u0446\u0438\u0442\u0430\u0442\u044b \u0412\u0435\u043b\u0438\u043a\u0438\u0445 \u043b\u044e\u0434\u0435\u0439 =)<\/p>\n<\/div>\n<\/details>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u0438\u0445 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u0434\u043e \u043e\u0442\u043a\u0443\u0434\u0430-\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c. \u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043b\u0438, \u0447\u0442\u043e Arkime \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u0432\u044b\u0434\u0435\u0440\u0433\u0438\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 (\u043d\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u0443\u0435\u0442 \u0438\u0445 \u0438\u043c\u0435\u043d\u0430).&nbsp; \u041a\u0440\u043e\u043c\u0435 \u0441\u0430\u043c\u043e\u0433\u043e Arkime, \u043d\u0430 \u043d\u043e\u0434\u0435 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 Suricata. \u0418\u043c\u0435\u043d\u043d\u043e \u0441 \u0435\u0435 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043c\u044b \u0445\u043e\u0442\u0435\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b. \u041e\u0434\u043d\u0430\u043a\u043e, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e Suricata \u043d\u0435 \u043e\u0441\u043e\u0431\u043e \u0430\u0434\u0435\u043a\u0432\u0430\u0442\u043d\u043e \u0432\u044b\u0434\u0438\u0440\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0438\u0437-\u0437\u0430 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0435\u0439 \u043f\u0435\u0440\u0435\u0441\u0431\u043e\u0440\u0430 \u0441\u0435\u0441\u0441\u0438\u0438. \u0411\u043e\u043b\u0435\u0435 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u043e\u043c \u0431\u0443\u0434\u0435\u0442 Zeek (\u0440\u0430\u043d\u0435\u0435 Bro) \u0441 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043d\u0430 \u044d\u043a\u0441\u0442\u0440\u0430\u043a\u0442 \u0444\u0430\u0439\u043b\u043e\u0432. <\/p>\n<p>\u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0442\u043e\u0438\u0442 \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0441\u0430\u043c\u043e\u0433\u043e Zeek, \u043d\u043e \u043c\u044b \u043d\u0430\u0434\u0435\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u0441 \u044d\u0442\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0443 \u0432\u0430\u0441 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 =). \u041f\u043e\u0441\u043b\u0435 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0439 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 (\u0432\u044b\u0431\u043e\u0440 \u043f\u043e\u0440\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0441\u043b\u0443\u0448\u043a\u0438 \u0438 \u0442.\u0434.), \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e&nbsp;Zeek (\u0441\u043c\u0435\u0441\u044c Lua). \u0422\u0430\u043a\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0435\u0441\u0442\u044c &#171;\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438&#187;, \u043d\u043e \u043e\u043d \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0431\u0438\u0440\u0430\u0442\u044c \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u043f\u043e\u0434\u0440\u044f\u0434 \u0438 \u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d.<\/p>\n<p>\u0421\u0430\u043c Zeek \u0443\u0441\u0442\u0440\u043e\u0435\u043d \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0445\u0438\u0442\u0440\u043e \u0438 \u043f\u043e\u0434\u0440\u0430\u0437\u0443\u043c\u0435\u0432\u0430\u0435\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0431\u044f \u0446\u0435\u043b\u0443\u044e \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u0443\u0435\u043c\u0443\u044e&nbsp; \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043e\u0436\u0435\u0442 \u0434\u0435\u043b\u0430\u0442\u044c \u0432\u0441\u0435 \u0447\u0442\u043e \u0432\u044b \u0437\u0430\u0445\u043e\u0442\u0438\u0442\u0435, \u043f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u043f\u0440\u044f\u043c\u044b\u0445 \u0440\u0443\u043a. \u0414\u043b\u044f \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u201c\u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c\u201d \u0435\u0433\u043e \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 Zeek. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f standalone \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u0438, \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0432\u043d\u0435\u0441\u0442\u0438 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0443 <code>\u201c@load &lt;\u0438\u043c\u044f \u043c\u043e\u0434\u0443\u043b\u044f&gt;\u201d<\/code>&nbsp; \u0432 \u0444\u0430\u0439\u043b <code>\u201c\u043f\u0440\u0435\u0444\u0438\u043a\u0441_\u043a\u043e\u0440\u043d\u044f_zeek\/share\/zeek\/site\/local.zeek\u201d<\/code>.<\/p>\n<p>\u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 &#8212; \u043f\u0443\u0442\u0438 \u043a \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0438\u0437 \u043f\u0430\u043f\u043a\u0438 share \u0438 share\/policy, \u0438 \u0438\u0434\u0435\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438 &#8212; \u043a\u0430\u0436\u0434\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0441\u0432\u043e\u0435\u0439 \u043f\u0430\u043f\u043a\u0435. \u0414\u0435\u0444\u043e\u043b\u0442\u043d\u044b\u0439 \u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0430\u0441\u0442\u044c\u044e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f FileAnalysis,&nbsp; \u0438 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e \u043f\u0443\u0442\u0438 \u201cframeworks\/files\/extract-all-files\u201d. \u041a\u0430\u043a \u0443\u0436\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0432\u044b\u0448\u0435, \u0441\u043a\u0440\u0438\u043f\u0442 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0434\u0438\u0440\u0430\u0442\u044c \u0432\u0441\u0435 \u043f\u043e\u0434\u0440\u044f\u0434, \u0447\u0435\u0433\u043e \u043c\u044b \u0445\u043e\u0442\u0438\u043c \u0438\u0437\u0431\u0435\u0436\u0430\u0442\u044c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u044b <s>\u0441\u0432\u043e\u0440\u043e\u0432\u0430\u043b\u0438<\/s> \u0432\u0434\u043e\u0445\u043d\u043e\u0432\u0438\u043b\u0438\u0441\u044c \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u0447\u0435\u0447\u043d\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u0446\u0438\u0435\u0439 \u043e\u0442 Security Onion Solutions, \u0433\u0434\u0435 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u043d \u0441\u043b\u043e\u0432\u0430\u0440\u044c \u0441 mime \u0442\u0438\u043f\u0430\u043c\u0438 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0438\u0445 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f\u043c\u0438. \u0422\u0430\u043a \u043a\u0430\u043a \u0434\u0430\u043d\u043d\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e SOS, \u043c\u044b \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043c \u0441\u0432\u043e\u0438 \u0442\u0438\u043f\u044b \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0438\u0445.<\/p>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u0442\u0430\u043b \u201c\u043c\u043e\u0434\u0443\u043b\u0435\u043c\u201d, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c, \u043f\u0435\u0440\u0435\u043c\u0435\u0441\u0442\u0438\u043c \u0435\u0433\u043e \u0432 \u043f\u0430\u043f\u043a\u0443 (\u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u0441\u0442\u043e\u043a\u043e\u0432 &#8212; <code>share\/policy\/securityonion\/file-extract\/<\/code>) \u0438 \u0441\u043e\u0437\u0434\u0430\u0434\u0438\u043c \u0444\u0430\u0439\u043b <code>\u201c__load__.zeek\u201d<\/code> (\u043f\u043e \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0438 __init__.py \u0432 Python \u043c\u043e\u0434\u0443\u043b\u044f\u0445), \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0443&nbsp; <code>\u201c@load .\/extract\u201d<\/code>. \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0441\u0430\u043c \u0441\u043a\u0440\u0438\u043f\u0442 \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u0437\u044b\u0432\u0430\u0442\u044c extract.zeek \u0438 \u0432 \u043d\u0435\u0433\u043e \u043c\u044b \u0434\u043e\u0431\u0430\u0432\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:&nbsp;<\/p>\n<pre><code>redef FileExtract::prefix = \"&lt;\u043f\u0443\u0442\u044c \u043a \u043f\u0430\u043f\u043a\u0435 \u0441 \u0432\u044b\u0440\u0435\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u0444\u0430\u0439\u043b\u0430\u043c\u0438&gt;\";  # Set a limit to the file size  redef FileExtract::default_limit = 9000000; # \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0440\u0430\u0437\u043c\u0435\u0440 \u0444\u0430\u0439\u043b \u0434\u043b\u044f \u0432\u044b\u0440\u0435\u0437\u043a\u0438  # These are the mimetypes we want to rip off the networks  export {  &nbsp;&nbsp;&nbsp;&nbsp;global _mime_whitelist: table[string] of string = {  &nbsp;&nbsp;&nbsp;[\u201capplication\/x-dosexec\u201d] = \u201cexe\u201d,  &nbsp;&nbsp;# \u0417\u0434\u0435\u0441\u044c \u043c\u043e\u0436\u043d\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u0442\u0438\u043f\u044b  } &amp;default = \u201c\u201d;  # Start grabbing the file from the network if it matches the mimetype  event file_sniff(f: fa_file, meta: fa_metadata) &amp;priority=10 {  &nbsp;&nbsp;&nbsp;&nbsp;local ext = \"\";  &nbsp;&nbsp;&nbsp;&nbsp;if( meta?$mime_type ) {  &nbsp;&nbsp;&nbsp;&nbsp;if ( meta$mime_type !in _mime_whitelist ) {  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;  &nbsp;&nbsp;&nbsp;&nbsp;}  &nbsp;&nbsp;&nbsp;&nbsp;ext = _mime_whitelist[meta$mime_type];  &nbsp;&nbsp;&nbsp;&nbsp;local fname = fmt(\"%s-%s.%s\", f$source, f$id, ext);  &nbsp;&nbsp;&nbsp;&nbsp;Files::add_analyzer(f, Files::ANALYZER_EXTRACT, [$extract_filename=fname]);  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}  }  # Wait for file_state_remove before you do anything. This is when it is actually done.  event file_state_remove(f: fa_file)  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if ( !f$info?$extracted || FileExtract::prefix == \"\" ) {  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# Check if any of the following conditions exist:  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# - missing MD5  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# - total_bytes exists (some protocols aren't populating this field) but is 0  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# - missing bytes  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# - timed out  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if ( !f$info?$md5 || (f?$total_bytes &amp;&amp; f$total_bytes == 0) || f$missing_bytes &gt; 0 || f$info$timedout) {  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# Delete the file if it didn't pass our requirements check.  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local nuke = fmt(\"rm %s\/%s\", FileExtract::prefix, f$info$extracted);  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;when [nuke] ( local nukeit = Exec::run([$cmd=nuke]) )  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local orig = f$info$extracted;  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local split_orig = split_string(f$info$extracted, \/\\.\/);  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local extension = split_orig[|split_orig|-1];  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local dest = fmt(\"%scomplete\/%s-%s-%s.%s\", FileExtract::prefix, f$source, f$id, f$info$md5, extension);  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;# Copy it to the $prefix\/complete folder then delete it. I got some weird results with moving when it came to watchdog in python.  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;local cmd = fmt(\"cp %s\/%s %s &amp;&amp; rm %s\/%s\", FileExtract::prefix, orig, dest, FileExtract::prefix, orig);  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;when [cmd] ( local result = Exec::run([$cmd=cmd]) )  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;f$info$extracted = dest;  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}<\/code><\/pre>\n<p><\/p>\n<p>\u0421\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e&nbsp;Zeek, \u043d\u043e \u0432 \u0432\u0430\u0440\u0438\u0430\u0446\u0438\u0438 SOS \u0442\u0430\u043a\u0436\u0435 \u0435\u0441\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 file_state_remove, \u0433\u0434\u0435 \u0444\u0430\u0439\u043b \u0431\u0443\u0434\u0435\u0442 \u0443\u0434\u0430\u043b\u0435\u043d, \u0435\u0441\u043b\u0438 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u0431\u043e\u0440\u0430 \u043d\u0435 \u0431\u044b\u043b\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u044b \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f.<\/p>\n<details class=\"spoiler\">\n<summary>\u041f\u0443\u0442\u044c \u043a\u0443\u0440\u0438\u043b\u044c\u0449\u0438\u043a\u0430:<\/summary>\n<div class=\"spoiler__content\">\n<p>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 suricata.yaml:&nbsp;<\/p>\n<p>\u0427\u0442\u043e\u0431\u044b \u043d\u0430\u0443\u0447\u0438\u0442\u044c \u0441\u0443\u0440\u043a\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 (\u0438\u0437 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 \u0441\u0430\u043c\u043e\u0433\u043e \u0441\u0443\u0440\u043a\u0430 1 \u0438 2)&nbsp; \u0432 suricata.yaml (\u043e\u0444\u043e\u0440\u043c\u0438\u0442\u044c \u043a\u043e\u0434-\u0431\u043b\u043e\u043a\u043e\u043c) :<\/p>\n<p><code>- eve-log:<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;enabled: yes<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;filetype: regular&nbsp;<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;filename: eve.json<\/code><\/p>\n<p><code>\u2026<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;types:<\/code><\/p>\n<p><code>\u2026<\/code><\/p>\n<p><code>- files:<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;force-magic: yes<\/code><\/p>\n<p><code>\u2026<\/code><\/p>\n<p><code>- file-store:<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;version: 2<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;enabled: yes<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dir: \/\u0432\u0430\u0448\u0430\/\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044f\/<\/code><\/p>\n<p><code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;stream-depth: 0<\/code><\/p>\n<p><code>\u2026<\/code><\/p>\n<ol>\n<li>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043c\u044b \u0447\u0435\u0441\u0442\u043d\u043e \u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u0437\u044f\u0442\u044c \u0441 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 Security Onion Solutions,&nbsp; \u0432\u043e\u0442 \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u0441\u0430\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430<\/p>\n<\/li>\n<li>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432, \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0443\u0435\u043c \u0441\u0443\u0440\u0438\u043a\u0430\u0442\u0443 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u0432\u044b\u0448\u0435. \u0414\u043e\u043b\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c\u0441\u044f \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9f6\/62b\/85d\/9f662b85d75183ad7440bcbd7b3ccc0b.png\" alt=\"\" title=\"\" width=\"934\" height=\"167\"><\/figure>\n<p>\u0412\u0441\u0435 \u044d\u0442\u0438 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 &#8212; \u043f\u0435\u0440\u0432\u044b\u0435 2 \u0441\u0438\u043c\u0432\u043e\u043b\u0430 \u0432 sha-256 \u0445\u044d\u0448\u0435, \u0442\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d. (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 SHA-256 \u0445\u044d\u0448 \u0444\u0430\u0439\u043b\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 \u201d00\u201d, \u0442\u043e \u043e\u043d \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 00)<\/p>\n<\/li>\n<li>\n<p>\u0413\u043e\u0442\u043e\u0432\u043e, \u0442\u0435\u043f\u0435\u0440\u044c \u0444\u0430\u0439\u043b\u044b \u0431\u0443\u0434\u0443\u0442 \u0432\u044b\u0434\u0435\u0440\u0433\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u044d\u0442\u0443 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e.<\/p>\n<\/li>\n<\/ol>\n<\/div>\n<\/details>\n<p>\u041f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0434\u0435\u043f\u043b\u043e\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 Strelka.<\/p>\n<h3>\u0414\u0435\u043f\u043b\u043e\u0439\u043c\u0435\u043d\u0442 Strelka<\/h3>\n<p>\u0412 \u0440\u0430\u043c\u043a\u0430\u0445 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u043c\u044b \u0432\u044b\u0431\u0440\u0430\u043b\u0438 \u0441\u0430\u043c\u044b\u0439 \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0432\u0430\u0440\u0438\u043d\u0430\u0442 \u0434\u0435\u043f\u043b\u043e\u044f &#8212; \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044f \u0432\u0441\u0435\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0432 \u043e\u0434\u043d\u043e\u043c \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e docker compose (1 \u0441\u0435\u0440\u0432\u0435\u0440 &#8212; 1 \u0430\u0433\u0435\u043d\u0442). \u0412 \u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u0438 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u0430 \u0434\u043b\u044f \u0440\u043e\u0443\u0442\u0438\u043d\u0433\u0430 \u0438 \u0431\u0430\u043b\u0430\u043d\u0441\u0438\u0440\u043e\u0432\u043a\u0438 gRPC \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f <a href=\"https:\/\/www.envoyproxy.io\/\" rel=\"noopener noreferrer nofollow\"><u>Envoy<\/u><\/a>. \u041f\u0440\u043e\u0449\u0435 \u0433\u043e\u0432\u043e\u0440\u044f &#8212; \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430, \u0431\u043e\u043b\u044c\u0448\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432.<\/p>\n<p>\u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c, \u0447\u0442\u043e \u0432 \u043a\u043e\u0441\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0441\u043e\u0431\u0430\u043a\u0435 \u0437\u0430\u0440\u044b\u0442\u043e:<\/p>\n<ul>\n<li>\n<p>Strelka-frontend \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u043f\u043e gRPC.<\/p>\n<\/li>\n<li>\n<p>Strelka-backend&nbsp; \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u0444\u0430\u0439\u043b\u044b.<\/p>\n<\/li>\n<li>\n<p>Strelka-manager&nbsp; \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u0432 Redis.<\/p>\n<\/li>\n<li>\n<p>Coordinator \u2013 Redis \u0441\u0435\u0440\u0432\u0435\u0440, \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u0434\u0430\u0447\u0438 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043c\u0435\u0436\u0434\u0443 frontend \u0438 backend.<\/p>\n<\/li>\n<li>\n<p>Gatekeeper \u2013 Redis \u0441\u0435\u0440\u0432\u0435\u0440, \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u043a\u044d\u0448 \u0438\u0437 \u0441\u043e\u0431\u044b\u0442\u0438\u0439.<\/p>\n<\/li>\n<li>\n<p>Mmrpc &#8212; \u043e\u043f\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 <a href=\"https:\/\/github.com\/egaus\/MaliciousMacroBot\" rel=\"noopener noreferrer nofollow\"><u>MaliciousMacroBot<\/u><\/a>, \u0438 \u0432\u043a\u043b\u044e\u0447\u0430\u044e\u0449\u0438\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 ScanMmbot<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u0430\u043c\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 (\u0434\u0430\u043b\u0435\u0435 \u043c\u044b \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u043c \u0438\u0437 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0433\u0438\u0442\u0430 Strelka):<\/p>\n<ol>\n<li>\n<p> \u041a\u043e\u043f\u0438\u0440\u0443\u0435\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 \u0438 \u0437\u0430\u0445\u043e\u0434\u0438\u043c \u0432 \u043d\u0435\u0433\u043e<br \/><code>git clone https:\/\/github.com\/target\/strelka.git &amp;&amp; \\<\/code><\/p>\n<p><code>cd strelka<\/code><\/p>\n<\/li>\n<li>\n<p>\u0423\u0434\u0430\u043b\u044f\u0435\u043c \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 yara \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0438 \u043a\u0430\u0447\u0430\u0435\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0438\u0437 Yara-Rules. \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 Yara-Rules \u0438\u0434\u0435\u0442 \u0432 \u043a\u043e\u043c\u043f\u043b\u0435\u043a\u0442\u0435 \u0444\u0430\u0439\u043b index.yar, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 \u0432 \u0441\u0435\u0431\u044f \u0432\u0441\u0435 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435. \u0415\u0433\u043e \u0436\u0435 \u043c\u044b \u0438\u043d\u043a\u043b\u044e\u0434\u0438\u043c \u0432 \u0444\u0430\u0439\u043b configs\/python\/backend\/yara\/rules.yara. \u0412\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0438\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435<\/p>\n<p><code>rm configs\/python\/backend\/yara\/rules.yara &amp;&amp; \\<\/code><\/p>\n<p><code>git clone https:\/\/github.com\/Yara-Rules\/rules.git configs\/python\/backend\/yara\/rules\/ &amp;&amp; \\<\/code><\/p>\n<p><code>echo 'include \".\/rules\/index.yar\"' &gt; configs\/python\/backend\/yara\/rules.yara<\/code><\/p>\n<\/li>\n<li>\n<p> \u0411\u0438\u043b\u0434\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u0430 \u0434\u043e\u043a\u0435\u0440\u0430 \u0438 \u043f\u043e\u0434\u043d\u0438\u043c\u0430\u0435\u043c \u0438\u0445, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u043c \u043e\u0434\u0438\u043d \u0438\u0437 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 &#8212; strelka-oneshot.<\/p>\n<p><code>docker-compose -f build\/docker-compose.yaml build &amp;&amp; \\<\/code><\/p>\n<p><code>docker-compose -f build\/docker-compose.yaml up -d &amp;&amp; \\<\/code><\/p>\n<p><code>go build github.com\/target\/strelka\/src\/go\/cmd\/strelka-oneshot<\/code><\/p>\n<\/li>\n<li>\n<p>\u0411\u0435\u0440\u0435\u043c \u043b\u044e\u0431\u043e\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e (\u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u043e\u0442 \u0441\u0430\u043c\u043e\u0439 Strelka \u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u044b\u0431\u0440\u0430\u0442\u044c Emotet, \u043d\u0430\u0445\u043e\u0434\u044f\u0449\u0438\u0439\u0441\u044f \u0432 \u0437\u0430\u043f\u0430\u0440\u043e\u043b\u0435\u043d\u043d\u043e\u043c \u0430\u0440\u0445\u0438\u0432\u0435) \u0438 \u0441\u043a\u0430\u0440\u043c\u043b\u0438\u0432\u0430\u0435\u043c \u0435\u0433\u043e \u043d\u0430\u0448\u0435\u0439 \u0441\u043e\u0431\u0430\u043a\u0435:<\/p>\n<\/li>\n<\/ol>\n<p><code>.\/strelka-oneshot -f samples\/Win32.Emotet.zip -l - | jq<\/code><\/p>\n<p><a href=\"https:\/\/github.com\/target\/strelka#whats-happening-here\" rel=\"noopener noreferrer nofollow\">\u0412\u044b\u0432\u043e\u0434 <\/a>\u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u043e\u0431\u043e\u0439 2 JSON \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e jq \u0431\u0443\u0434\u0443\u0442 \u0430\u0434\u0435\u043a\u0432\u0430\u0442\u043d\u043e \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u044b. \u0422\u0430\u043a \u043a\u0430\u043a \u043c\u044b \u0441\u043a\u0430\u0440\u043c\u043b\u0438\u0432\u0430\u0435\u043c \u0430\u0440\u0445\u0438\u0432, Strelka \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u043e\u043c \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0438 \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b.<\/p>\n<p>\u041a\u0430\u043a \u0436\u0435 \u0438\u043c\u0435\u043d\u043d\u043e strelka \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442, \u0447\u0442\u043e \u0437\u0430 \u0444\u0430\u0439\u043b \u043f\u0435\u0440\u0435\u0434 \u043d\u0435\u0439? \u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0430\u0447\u043a\u0438 yara \u043f\u0440\u0430\u0432\u0438\u043b \u0438\u0437 \u0444\u0430\u0439\u043b\u0438\u043a\u0430 <a href=\"https:\/\/github.com\/target\/strelka\/blob\/master\/configs\/python\/backend\/taste\/taste.yara\" rel=\"noopener noreferrer nofollow\"><u>taste.yara<\/u><\/a>, \u0430 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0430\u0439\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 backend.yaml, \u0431\u0443\u0434\u0443\u0442 \u0432\u044b\u0431\u0440\u0430\u043d\u044b \u0441\u043a\u0430\u043d\u0435\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u044e\u0442 \u0444\u0430\u0439\u043b\u044b. \u0412\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0432\u0441\u0435\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u043d\u0430\u0448\u0435\u0439 \u0441\u043e\u0431\u0430\u043a\u0438 \u043b\u0435\u0436\u0430\u0442 \u0432 \u043f\u0430\u043f\u043a\u0435 configs\/&lt;\u044f\u0437\u044b\u043a \u0441\u0435\u0440\u0432\u0438\u0441\u0430(go \u0438\u043b\u0438 python)&gt;, \u043a\u0430\u043a \u0438 \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439 \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432.<\/p>\n<h3>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f Zeek &lt;&gt; Strelka<\/h3>\n<p>\u0418\u0442\u0430\u043a, \u0432\u0435\u0440\u043d\u0435\u043c\u0441\u044f \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u043a\u0435\u0439\u0441\u0443 &#8212; \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u043f\u043e\u0442\u043e\u043a\u0435. \u041d\u0430\u043c \u043d\u0443\u0436\u0435\u043d \u043a\u043b\u0438\u0435\u043d\u0442 strelka-filestream, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u0443\u0434\u0435\u0442 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0435 \u0448\u0430\u0431\u043b\u043e\u043d\u044b \u043d\u0430\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0439 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0438\u0445 \u043a\u0430\u043a \u0437\u0430\u0434\u0430\u0447\u0438 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437.&nbsp; \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0431\u0435\u0440\u0435\u043c filestream:<\/p>\n<p><code>go build github.com\/target\/strelka\/src\/go\/cmd\/strelka-filestream<\/code><\/p>\n<p>\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u043e\u043d \u0431\u0443\u0434\u0435\u0442 \u043f\u0435\u0440\u0435\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0442\u044c \u0432 \u0434\u0440\u0443\u0433\u0443\u044e \u043f\u0430\u043f\u043a\u0443, \u0447\u0442\u043e\u0431\u044b \u043d\u0435\u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0435 \u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0435 \u043d\u0435 \u043f\u0435\u0440\u0435\u0441\u0435\u043a\u0430\u043b\u0438\u0441\u044c:<\/p>\n<pre><code>conn: &nbsp;&nbsp;server: '&lt;\u0430\u0434\u0440\u0435\u0441 frontend&gt;:57314'  &nbsp;&nbsp;cert: 'ssl \u043f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438'  &nbsp;&nbsp;timeout:  &nbsp;&nbsp;&nbsp;&nbsp;dial: 5s  &nbsp;&nbsp;&nbsp;&nbsp;file: 1m  throughput:  &nbsp;&nbsp;concurrency: 8  &nbsp;&nbsp;chunk: 32768  &nbsp;&nbsp;delay: 0s  files:  &nbsp;&nbsp;patterns:  &nbsp;&nbsp;&nbsp;&nbsp;- '&lt;\u043f\u0430\u043f\u043a\u0430 \u0441 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u043e\u0442 Zeek&gt;\/*'  &nbsp;&nbsp;processed: '&lt;\u043b\u044e\u0431\u0430\u044f \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044f, \u0433\u0434\u0435 \u0431\u0443\u0434\u0443\u0442 \u0445\u0440\u0430\u043d\u0438\u0442\u044c\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b&gt;'  &nbsp;&nbsp;delete: false ## \u0423\u0434\u0430\u043b\u0438\u0442\u044c \u043b\u0438 \u0444\u0430\u0439\u043b\u044b, \u043f\u043e\u0441\u043b\u0435 \u0438\u0445 \u043e\u0442\u043f\u0440\u0430\u043a\u0438 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437  &nbsp;&nbsp;gatekeeper: true  response:  &nbsp;&nbsp;report: 5s  delta: 5s  staging: '\/path\/to\/your\/staging\/directory\/'&nbsp; ## \u0414\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044f, \u0432 \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0444\u0430\u0439\u043b\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u044e\u0442\u0441\u044f \u041f\u0415\u0420\u0415\u0414 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u043e\u0439<\/code><\/pre>\n<p>\u042d\u0442\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0434\u043b\u044f \u0441\u0435\u0431\u044f, \u043d\u043e \u0432\u044b \u0432\u0441\u0435\u0433\u0434\u0430 \u043c\u043e\u0436\u0435\u0442\u0435 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f \u043a \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438, \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0432\u0441\u0435 \u043f\u043e\u0434 \u0441\u0435\u0431\u044f. \u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 &#8212; <a href=\"https:\/\/target.github.io\/strelka\/#\/?id=configuration-files\" rel=\"noopener noreferrer nofollow\"><u>\u0437\u0434\u0435\u0441\u044c<\/u><\/a>, \u043d\u043e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044f \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u043a\u0440\u043e\u043c\u043d\u0430\u044f (\u043d\u0443, \u0430 \u0447\u0442\u043e \u043c\u044b \u0445\u043e\u0442\u0435\u043b\u0438 \u043e\u0442 opensource).<\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u043d\u0430\u043f\u0438\u0448\u0435\u043c \u043f\u0440\u043e\u0441\u0442\u0435\u043d\u044c\u043a\u0438\u0439 systemd \u044e\u043d\u0438\u0442 \u0434\u043b\u044f \u201c\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u0433\u043e\u201d (\u043f\u043e \u043c\u043d\u0435\u043d\u0438\u044e \u0431\u041e\u043b\u044c\u0448\u0435\u0433\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430 \u043b\u0438\u043d\u0443\u043a\u0441\u043e\u0439\u0434\u043e\u0432) \u0437\u0430\u043f\u0443\u0441\u043a\u0430 strelka-filestream:<\/p>\n<pre><code>[Unit]&nbsp;  Description=Strelka Filestream Binary&nbsp;  After=network.target  [Service] Type=simple&nbsp;  Restart=always&nbsp;  RestartSec=5&nbsp;  ExecStart=\/usr\/bin\/strelka-filestream-linux -c \/etc\/strelka\/filestream.yaml  [Install]&nbsp;  WantedBy=multi-user.target<\/code><\/pre>\n<p>\u0412\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u043d\u043a\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0434\u0435\u043f\u043b\u043e\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 &#8212; \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0432\u0441\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u043d\u0430\u043c\u0438 \u043f\u0430\u043f\u043a\u0438, \u0438\u043b\u0438 \u0434\u0430\u0436\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c SeLinux \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 (\u043f\u043e\u0447\u0435\u043c\u0443 \u0431\u044b \u0438 \u0434\u0430?).<\/p>\n<h3>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043b\u043e\u0433\u043e\u0432 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430&nbsp;<\/h3>\n<p>\u0421\u0430\u043c\u043e\u0435 \u041d\u0415\u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 &#8212; \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0430 \u043b\u043e\u0433\u043e\u0432 \u0432 ELK, \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430 \u044d\u0442\u043e\u043c \u044d\u0442\u0430\u043f\u0435 \u043c\u044b \u043f\u043e\u0442\u0440\u0430\u0442\u0438\u043b\u0438 \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u0421\u0445\u0435\u043c\u0430 JSON \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430\u043c \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043d\u0435\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e \u043c\u043e\u043d\u0441\u0442\u0440\u0443\u043e\u0437\u043d\u043e\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u044b\u0434\u0435\u043b\u0438\u043b\u0438 \u0441\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0435 \u043d\u0438\u0436\u0435 (\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044f \u043d\u0430 \u0441\u0445\u0435\u043c\u0443 JSON \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0432\u044b\u0445\u043e\u0434\u0430 \u0441\u0442\u0430\u0442\u044c\u0438):<\/p>\n<pre><code>{ &nbsp; \u201cfile\u201d: \u2026 &nbsp; \u201cscan\u201d: {  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\u201c&lt;\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0438\u043b\u0438 \u043a\u0440\u0430\u0442\u043a\u043e\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435&gt;\u201d: { &lt;\u043f\u0430\u0447\u043a\u0430 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 (\u0441 \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u0430\u043c\u0438), \u0441 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0442 \u0441\u043a\u0430\u043d\u0435\u0440\u0430&gt; }&nbsp;  &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}}<\/code><\/pre>\n<p>\u0418 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0432\u0441\u0435 \u043e\u043d\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0438 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u043d\u043e \u043a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u044b \u0441\u0430\u043c\u0438 \u0437\u0430\u043a\u0438\u043d\u0435\u0442\u0435 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 Emotet \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437, \u0432\u044b \u0443\u0432\u0438\u0434\u0438\u0442\u0435 \u201c\u043d\u0435\u043c\u043d\u043e\u0433\u043e\u201d \u0431\u043e\u043b\u044c\u0448\u0435, \u0447\u0435\u043c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435. \u0422\u0443\u0442 \u043f\u043e \u043f\u043b\u0430\u043d\u0443 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u043b \u0431\u044b\u0442\u044c \u043f\u0440\u0438\u043c\u0435\u0440 \u043b\u043e\u0433\u0430, \u043d\u043e \u0432 \u043d\u0435\u043c \u0431\u043e\u043b\u0435\u0435 9\u043a \u0441\u0442\u0440\u043e\u043a, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0438\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u0440\u044b\u0432\u043e\u043a \u043f\u043e\u0434 \u0441\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442.<\/p>\n<details class=\"spoiler\">\n<summary>\u0427\u0430\u0441\u0442\u044c \u043b\u043e\u0433\u0430, \u043d\u0435 \u0441\u043c\u043e\u0442\u0440\u0438\u0442\u0435 &#8212; \u0441\u0442\u0440\u0430\u0448\u043d\u043e<\/summary>\n<div class=\"spoiler__content\">\n<p>&#171;pe&#187;: {<br \/> &#171;address_of_entry_point&#187;: 1075979,<br \/> &#171;base_of_code&#187;: 4096,<br \/> &#171;base_of_data&#187;: 1671168,<br \/> &#171;checksum&#187;: 8268887,<br \/> &#171;compile_time&#187;: &#171;2023-01-20T18:07:04&#187;,<br \/> &#171;debug&#187;: {<br \/> &#171;age&#187;: 1,<br \/> &#171;guid&#187;: &#171;2d00683a-1f90-0e48-8dc7b915b650eec3&#187;,<br \/> &#171;pdb&#187;: &#171;D:\\a\\1\\s\\exe\\Win32\\Public_Release\\Sysmon.pdb&#187;,<br \/> &#171;type&#187;: &#171;rsds&#187;<br \/> },<br \/> &#171;dll_characteristics&#187;: [<br \/> &#171;DYNAMIC_BASE&#187;,<br \/> &#171;NX_COMPAT&#187;,<br \/> &#171;TERMINAL_SERVER_AWARE&#187;<br \/> ],<br \/> &#171;elapsed&#187;: 1.431875,<br \/> &#171;file_alignment&#187;: 512,<br \/> &#171;file_info&#187;: {<br \/> &#171;company_name&#187;: &#171;Sysinternals &#8212; <a href=\"http:\/\/www.sysinternals.com\" rel=\"noopener noreferrer nofollow\">www.sysinternals.com<\/a>&#171;,<br \/> &#171;file_description&#187;: &#171;System activity monitor&#187;,<br \/> &#171;file_version&#187;: &#171;14.14&#187;,<br \/> &#171;fixed&#187;: {<br \/> &#171;operating_systems&#187;: [<br \/> &#171;WINDOWS32&#187;<br \/> ],<br \/> &#171;type&#187;: {<br \/> &#171;primary&#187;: &#171;UNKNOWN&#187;<br \/> }<br \/> },<br \/> &#171;internal_name&#187;: &#171;System Monitor&#187;,<br \/> &#171;legal_copyright&#187;: &#171;By Mark Russinovich and Thomas Garnier\\nCopyright (C) 2014-2023 Microsoft Corporation\\nUsing libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.&#187;,<br \/> &#171;product_name&#187;: &#171;Sysinternals Sysmon&#187;,<br \/> &#171;product_version&#187;: &#171;14.14&#187;,<br \/> &#171;var&#187;: {<br \/> &#171;character_set&#187;: &#171;Unicode&#187;,<br \/> &#171;language&#187;: &#171;U.S. English&#187;<br \/> }<br \/> },<br \/> &#171;flags&#187;: [<br \/> &#171;no_certs_found&#187;<br \/> ],<br \/> &#171;header&#187;: {<br \/> &#171;machine&#187;: {<br \/> &#171;id&#187;: 332,<br \/> &#171;type&#187;: &#171;I386&#187;<br \/> },<br \/> &#171;magic&#187;: {<br \/> &#171;dos&#187;: &#171;DOS&#187;,<br \/> &#171;image&#187;: &#171;32_BIT&#187;<br \/> },<br \/> &#171;subsystem&#187;: &#171;WINDOWS_CUI&#187;<br \/> },<br \/> &#171;image_base&#187;: 4194304,<br \/> &#171;image_characteristics&#187;: [<br \/> &#171;EXECUTABLE_IMAGE&#187;,<br \/> &#171;32BIT_MACHINE&#187;<br \/> ],<br \/> &#171;image_version&#187;: 0,<br \/> &#171;imphash&#187;: &#171;22c706ca771a1849826506040b11d50f&#187;,<br \/> &#171;linker_version&#187;: 14.34,<br \/> &#171;major_image_version&#187;: 0,<br \/> &#171;major_linker_version&#187;: 14,<br \/> &#171;major_operating_system_version&#187;: 6,<br \/> &#171;major_subsystem_version&#187;: 6,<br \/> &#171;minor_image_version&#187;: 0,<br \/> &#171;minor_linker_version&#187;: 34,<br \/> &#171;minor_operating_system_version&#187;: 0,<br \/> &#171;minor_subsystem_version&#187;: 0,<br \/> &#171;operating_system_version&#187;: 6,<br \/> &#171;resources&#187;: [<br \/> {<br \/> &#171;id&#187;: 1001,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;3e725ceddba1b9460f6304986e6248da&#187;,<br \/> &#171;sha1&#187;: &#171;8710b02483beac27184dd236209f7d1df864ffe6&#187;,<br \/> &#171;sha256&#187;: &#171;d92b848707513894733fe2da0faf7ba7dcfbbb98380d06e07c87521e7fab6bf0&#187;<br \/> },<br \/> {<br \/> &#171;id&#187;: 1002,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;01124a558ec6d65f6471456da07ab4ea&#187;,<br \/> &#171;sha1&#187;: &#171;743e1c0d0495d334c77132640352208f806aeb54&#187;,<br \/> &#171;sha256&#187;: &#171;9681d860e84375b95b3d59006dae41b007bca3824bfe10e0c313b72f68ac178a&#187;<br \/> },<br \/> {<br \/> &#171;id&#187;: 1,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;12a95179b2738a3f37060eacad6bd6a3&#187;,<br \/> &#171;sha1&#187;: &#171;1197df76d0a31be7a369b13499f1e73c6b6791d0&#187;,<br \/> &#171;sha256&#187;: &#171;3d63feefaf94dc719aa83afc9b25dc8ca317a686cdb617e39f4c1548b060a8ed&#187;<br \/> },<br \/> {<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;932524ab57ae83176d5596fff967aa52&#187;,<br \/> &#171;name&#187;: &#171;SYSMONSCHEMA&#187;,<br \/> &#171;sha1&#187;: &#171;691dd0236bc963b1b7528accdba56fee26fce10d&#187;,<br \/> &#171;sha256&#187;: &#171;0387426eeb7ea7705c7524e2d6425a7c6fda9923c25650309ae3a6440a0e9971&#187;<br \/> },<br \/> {<br \/> &#171;id&#187;: 1,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;bfc1566bfd06c8135ab5c3a2e321ebe7&#187;,<br \/> &#171;sha1&#187;: &#171;66bd09bd18c6953d6fcea960431dfb6ddd7f9416&#187;,<br \/> &#171;sha256&#187;: &#171;db58c2c74246fa1e1c6c504373332303a511be9072ee5b31796c2a837a922f17&#187;,<br \/> &#171;type&#187;: &#171;MESSAGETABLE&#187;<br \/> },<br \/> {<br \/> &#171;id&#187;: 1,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;d901d37a441a56585e2878f8f31fd958&#187;,<br \/> &#171;sha1&#187;: &#171;0c60e3a7cc4a9c5726767611fd774c5826690438&#187;,<br \/> &#171;sha256&#187;: &#171;695d4d08304fd3377908fb02cb58063052223e391b9ed70da067a9bb3725c53e&#187;,<br \/> &#171;type&#187;: &#171;VERSION&#187;<br \/> },<br \/> {<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;97563aa40292469b3e117adfc66dfcbe&#187;,<br \/> &#171;name&#187;: &#171;SYSMONMAN&#187;,<br \/> &#171;sha1&#187;: &#171;8c4b4d8d95edc34e21b1723f3badcfaf51ea6dd5&#187;,<br \/> &#171;sha256&#187;: &#171;71318e89313c58d15da819be6f89fdc975228cbf82626bfa2c78aa2f28d04ad8&#187;,<br \/> &#171;type&#187;: &#171;HTML&#187;<br \/> },<br \/> {<br \/> &#171;id&#187;: 1,<br \/> &#171;language&#187;: {<br \/> &#171;primary&#187;: &#171;ENGLISH&#187;,<br \/> &#171;sub&#187;: &#171;ENGLISH_US&#187;<br \/> },<br \/> &#171;md5&#187;: &#171;d41d8cd98f00b204e9800998ecf8427e&#187;,<br \/> &#171;sha1&#187;: &#171;da39a3ee5e6b4b0d3255bfef95601890afd80709&#187;,<br \/> &#171;sha256&#187;: &#171;e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855&#187;,<br \/> &#171;type&#187;: &#171;MANIFEST&#187;<br \/> }<br \/> ],<br \/> &#171;rich&#187;: {<br \/> &#171;clear_data&#187;: {<br \/> &#171;data&#187;: &#171;RGFuUwAAAAAAAAAAAAAAAEt4AwETAAAAS3gFAcUAAABPfP0ABAAAAE98BQFWAAAAT3wEARMAAABPfAMBGQAAAEt4BAEZAAAAuHUDAQEAAAC7dQQBCgAAAEt4AQEjAAAAAAABAFIBAADBfAkBPQAAAMF8\/wABAAAAAACXAAIAAADBfAIBAQAAAA==&#187;,<br \/> &#171;md5&#187;: &#171;fa160a389ccba4f1f5e7ea61c15d319a&#187;<br \/> },<br \/> &#171;info&#187;: [<br \/> {<br \/> &#171;count&#187;: 19,<br \/> &#171;toolid&#187;: 259,<br \/> &#171;version&#187;: 30795<br \/> },<br \/> {<br \/> &#171;count&#187;: 197,<br \/> &#171;toolid&#187;: 261,<br \/> &#171;version&#187;: 30795<br \/> },<br \/> {<br \/> &#171;count&#187;: 4,<br \/> &#171;toolid&#187;: 253,<br \/> &#171;version&#187;: 31823<br \/> },<br \/> {<br \/> &#171;count&#187;: 86,<br \/> &#171;toolid&#187;: 261,<br \/> &#171;version&#187;: 31823<br \/> },<br \/> {<br \/> &#171;count&#187;: 19,<br \/> &#171;toolid&#187;: 260,<br \/> &#171;version&#187;: 31823<br \/> },<br \/> {<br \/> &#171;count&#187;: 25,<br \/> &#171;toolid&#187;: 259,<br \/> &#171;version&#187;: 31823<br \/> },<br \/> {<br \/> &#171;count&#187;: 25,<br \/> &#171;toolid&#187;: 260,<br \/> &#171;version&#187;: 30795<br \/> },<br \/> {<br \/> &#171;count&#187;: 1,<br \/> &#171;toolid&#187;: 259,<br \/> &#171;version&#187;: 30136<br \/> },<br \/> {<br \/> &#171;count&#187;: 10,<br \/> &#171;toolid&#187;: 260,<br \/> &#171;version&#187;: 30139<br \/> },<br \/> {<br \/> &#171;count&#187;: 35,<br \/> &#171;toolid&#187;: 257,<br \/> &#171;version&#187;: 30795<br \/> },<br \/> {<br \/> &#171;count&#187;: 338,<br \/> &#171;toolid&#187;: 1,<br \/> &#171;version&#187;: 0<br \/> },<br \/> {<br \/> &#171;count&#187;: 61,<br \/> &#171;toolid&#187;: 265,<br \/> &#171;version&#187;: 31937<br \/> },<br \/> {<br \/> &#171;count&#187;: 1,<br \/> &#171;toolid&#187;: 255,<br \/> &#171;version&#187;: 31937<br \/> },<br \/> {<br \/> &#171;count&#187;: 2,<br \/> &#171;toolid&#187;: 151,<br \/> &#171;version&#187;: 0<br \/> },<br \/> {<br \/> &#171;count&#187;: 1,<br \/> &#171;toolid&#187;: 258,<br \/> &#171;version&#187;: 31937<br \/> }<br \/> ],<br \/> &#171;key&#187;: &#171;6220d5e7&#187;,<br \/> &#171;raw_data&#187;: {<br \/> &#171;data&#187;: &#171;JkG7tGIg1ediINXnYiDV5ylY1uZxINXnKVjQ5qcg1ectXCjnZiDV5y1c0OY0INXnLVzR5nEg1ectXNbmeyDV5ylY0eZ7INXn2lXW5mMg1efZVdHmaCDV5ylY1OZBINXnYiDU5zAh1eejXNzmXyDV56NcKudjINXnYiBC52Ag1eejXNfmYyDV5w==&#187;,<br \/> &#171;md5&#187;: &#171;99df8167e636a4e5d03f3a305f56b445&#187;<br \/> }<br \/> },<br \/> &#171;section_alignment&#187;: 4096,<br \/> &#171;sections&#187;: [<br \/> {<br \/> &#171;address&#187;: {<br \/> &#171;physical&#187;: 1666038,<br \/> &#171;virtual&#187;: 4096<br \/> },<br \/> &#171;characteristics&#187;: [<br \/> &#171;CNT_CODE&#187;,<br \/> &#171;MEM_EXECUTE&#187;,<br \/> &#171;MEM_READ&#187;<br \/> ],<br \/> &#171;entropy&#187;: 6.636632502553922,<br \/> &#171;md5&#187;: &#171;55eac3bed86e853dd7b97ecae392a49c&#187;,<br \/> &#171;name&#187;: &#171;.text&#187;,<br \/> &#171;sha1&#187;: &#171;d86802270020bf19260c1a0f4c4e46551a9f01d6&#187;,<br \/> &#171;sha256&#187;: &#171;7b80a0764abba960a81e444dcc6f5cb3ec8c38c0c4aeb89e518ef40ee0d129d1&#187;,<br \/> &#171;size&#187;: 1666048<br \/> },<br \/> {<br \/> &#171;address&#187;: {<br \/> &#171;physical&#187;: 786576,<br \/> &#171;virtual&#187;: 1671168<br \/> },<br \/> &#171;characteristics&#187;: [<br \/> &#171;CNT_INITIALIZED_DATA&#187;,<br \/> &#171;MEM_READ&#187;<br \/> ],<br \/> &#171;entropy&#187;: 4.3805809880051365,<br \/> &#171;md5&#187;: &#171;ba57f1bdd64e68192ac99511c004430d&#187;,<br \/> &#171;name&#187;: &#171;.rdata&#187;,<br \/> &#171;sha1&#187;: &#171;ae67fd775a29fe2e812c04d7fae00fed6cd3f10f&#187;,<br \/> &#171;sha256&#187;: &#171;95d49c9c84ddb5bd3fb746000e2be173d51af0a4971d0d2f82a728d769a74778&#187;,<br \/> &#171;size&#187;: 786944<br \/> },<br \/> {<br \/> &#171;address&#187;: {<br \/> &#171;physical&#187;: 29224,<br \/> &#171;virtual&#187;: 2461696<br \/> },<br \/> &#171;characteristics&#187;: [<br \/> &#171;CNT_INITIALIZED_DATA&#187;,<br \/> &#171;MEM_READ&#187;,<br \/> &#171;MEM_WRITE&#187;<br \/> ],<br \/> &#171;entropy&#187;: 4.474025218651877,<br \/> &#171;md5&#187;: &#171;31a647892600452887f8681d5007a2e4&#187;,<br \/> &#171;name&#187;: &#171;.data&#187;,<br \/> &#171;sha1&#187;: &#171;7b84cf7ccb58aca03a780b60ee731ef458f311d7&#187;,<br \/> &#171;sha256&#187;: &#171;6331c1d1e5d08db286a879035ffa9f08f999bf87358938ef184ccaf25fe0b626&#187;,<br \/> &#171;size&#187;: 14848<br \/> },<br \/> {<br \/> &#171;address&#187;: {<br \/> &#171;physical&#187;: 5686360,<br \/> &#171;virtual&#187;: 2494464<br \/> },<br \/> &#171;characteristics&#187;: [<br \/> &#171;CNT_INITIALIZED_DATA&#187;,<br \/> &#171;MEM_READ&#187;<br \/> ],<br \/> &#171;entropy&#187;: 1.699918955277781,<br \/> &#171;md5&#187;: &#171;bf1b231fd7cebcaf9ce86b18fdcba822&#187;,<br \/> &#171;name&#187;: &#171;.rsrc&#187;,<br \/> &#171;sha1&#187;: &#171;1e941fdd57610dd433314447b1076f84bad98594&#187;,<br \/> &#171;sha256&#187;: &#171;fe21359b2a4ce3fde264344efee4f475b752d192ea1039aad72edf19e764f073&#187;,<br \/> &#171;size&#187;: 5686784<br \/> },<br \/> {<br \/> &#171;address&#187;: {<br \/> &#171;physical&#187;: 60920,<br \/> &#171;virtual&#187;: 8183808<br \/> },<br \/> &#171;characteristics&#187;: [<br \/> &#171;CNT_INITIALIZED_DATA&#187;,<br \/> &#171;MEM_DISCARDABLE&#187;,<br \/> &#171;MEM_READ&#187;<br \/> ],<br \/> &#171;entropy&#187;: 0,<br \/> &#171;md5&#187;: &#171;d41d8cd98f00b204e9800998ecf8427e&#187;,<br \/> &#171;name&#187;: &#171;.reloc&#187;,<br \/> &#171;sha1&#187;: &#171;da39a3ee5e6b4b0d3255bfef95601890afd80709&#187;,<br \/> &#171;sha256&#187;: &#171;e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855&#187;,<br \/> &#171;size&#187;: 60928<br \/> }<br \/> ],<br \/> &#171;size_of_code&#187;: 1666048,<br \/> &#171;size_of_headers&#187;: 1024,<br \/> &#171;size_of_heap_commit&#187;: 4096,<br \/> &#171;size_of_heap_reserve&#187;: 1048576,<br \/> &#171;size_of_image&#187;: 8245248,<br \/> &#171;size_of_initialized_data&#187;: 6564352,<br \/> &#171;size_of_stack_commit&#187;: 4096,<br \/> &#171;size_of_stack_reserve&#187;: 1048576,<br \/> &#171;size_of_uninitialized_data&#187;: 0,<br \/> &#171;subsystem_version&#187;: 6,<br \/> &#171;summary&#187;: {<br \/> &#171;resource_md5&#187;: [<br \/> &#171;01124a558ec6d65f6471456da07ab4ea&#187;,<br \/> &#171;97563aa40292469b3e117adfc66dfcbe&#187;,<br \/> &#171;12a95179b2738a3f37060eacad6bd6a3&#187;,<br \/> &#171;3e725ceddba1b9460f6304986e6248da&#187;,<br \/> &#171;d41d8cd98f00b204e9800998ecf8427e&#187;,<br \/> &#171;932524ab57ae83176d5596fff967aa52&#187;,<br \/> &#171;d901d37a441a56585e2878f8f31fd958&#187;,<br \/> &#171;bfc1566bfd06c8135ab5c3a2e321ebe7&#187;<br \/> ],<br \/> &#171;resource_sha1&#187;: [<br \/> &#171;1197df76d0a31be7a369b13499f1e73c6b6791d0&#187;,<br \/> &#171;0c60e3a7cc4a9c5726767611fd774c5826690438&#187;,<br \/> &#171;691dd0236bc963b1b7528accdba56fee26fce10d&#187;,<br \/> &#171;8c4b4d8d95edc34e21b1723f3badcfaf51ea6dd5&#187;,<br \/> &#171;743e1c0d0495d334c77132640352208f806aeb54&#187;,<br \/> &#171;66bd09bd18c6953d6fcea960431dfb6ddd7f9416&#187;,<br \/> &#171;da39a3ee5e6b4b0d3255bfef95601890afd80709&#187;,<br \/> &#171;8710b02483beac27184dd236209f7d1df864ffe6&#187;<br \/> ],<br \/> &#171;resource_sha256&#187;: [<br \/> &#171;71318e89313c58d15da819be6f89fdc975228cbf82626bfa2c78aa2f28d04ad8&#187;,<br \/> &#171;d92b848707513894733fe2da0faf7ba7dcfbbb98380d06e07c87521e7fab6bf0&#187;,<br \/> &#171;e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855&#187;,<br \/> &#171;3d63feefaf94dc719aa83afc9b25dc8ca317a686cdb617e39f4c1548b060a8ed&#187;,<br \/> &#171;db58c2c74246fa1e1c6c504373332303a511be9072ee5b31796c2a837a922f17&#187;,<br \/> &#171;0387426eeb7ea7705c7524e2d6425a7c6fda9923c25650309ae3a6440a0e9971&#187;,<br \/> &#171;695d4d08304fd3377908fb02cb58063052223e391b9ed70da067a9bb3725c53e&#187;,<br \/> &#171;9681d860e84375b95b3d59006dae41b007bca3824bfe10e0c313b72f68ac178a&#187;<br \/> ],<br \/> &#171;section_md5&#187;: [<br \/> &#171;55eac3bed86e853dd7b97ecae392a49c&#187;,<br \/> &#171;d41d8cd98f00b204e9800998ecf8427e&#187;,<br \/> &#171;31a647892600452887f8681d5007a2e4&#187;,<br \/> &#171;bf1b231fd7cebcaf9ce86b18fdcba822&#187;,<br \/> &#171;ba57f1bdd64e68192ac99511c004430d&#187;<br \/> ],<br \/> &#171;section_sha1&#187;: [<br \/> &#171;d86802270020bf19260c1a0f4c4e46551a9f01d6&#187;,<br \/> &#171;da39a3ee5e6b4b0d3255bfef95601890afd80709&#187;,<br \/> &#171;1e941fdd57610dd433314447b1076f84bad98594&#187;,<br \/> &#171;ae67fd775a29fe2e812c04d7fae00fed6cd3f10f&#187;,<br \/> &#171;7b84cf7ccb58aca03a780b60ee731ef458f311d7&#187;<br \/> ],<br \/> &#171;section_sha256&#187;: [<br \/> &#171;6331c1d1e5d08db286a879035ffa9f08f999bf87358938ef184ccaf25fe0b626&#187;,<br \/> &#171;e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855&#187;,<br \/> &#171;fe21359b2a4ce3fde264344efee4f475b752d192ea1039aad72edf19e764f073&#187;,<br \/> &#171;95d49c9c84ddb5bd3fb746000e2be173d51af0a4971d0d2f82a728d769a74778&#187;,<br \/> &#171;7b80a0764abba960a81e444dcc6f5cb3ec8c38c0c4aeb89e518ef40ee0d129d1&#187;<br \/> ]<br \/> }<\/p>\n<\/div>\n<\/details>\n<p>\u0421\u0430\u043c\u043e\u0435 \u0441\u0442\u0440\u0430\u0448\u043d\u043e\u0435 \u0437\u0434\u0435\u0441\u044c &#8212; \u0441\u0435\u043a\u0446\u0438\u0438 \u0441 \u0438\u043c\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u043c\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c\u0438 \u0438\u0437 PE \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432, \u043f\u043e\u043b\u043d\u0430\u044f meta \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u043e yara \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c \u0438 \u043c\u0430\u0441\u0441\u0438\u0432 \u0438\u0437 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0431 \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u0438 \u043a\u0430\u0436\u0434\u043e\u0439 \u0441\u0435\u043a\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u043d\u0435 \u043f\u0443\u0433\u0430\u0439\u0442\u0435\u0441\u044c, \u0435\u0441\u043b\u0438 \u0432\u044b \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u043d\u044f\u043b\u0438 <s>&#8212; \u043c\u044b \u0442\u043e\u0436\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u043d\u044f\u043b\u0438<\/s>).<\/p>\n<p>\u041d\u0430\u043c \u043e\u0447\u0435\u043d\u044c \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0441\u043b\u0430\u0442\u044c \u0432\u0441\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u0440\u0430\u0431\u043e\u0442\u043a\u0430\u0445 yara \u043f\u0440\u0430\u0432\u0438\u043b \u0432 Elasticsearch \u0438 \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0432 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f\u0445, \u0438\u043b\u0438 \u0434\u0430\u0436\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0432 Elastic Security.<\/p>\n<p>\u041d\u043e \u043a \u043d\u0430\u0448\u0435\u043c\u0443 \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e &#8212; meta \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u043e yara \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c &#8212; \u043c\u0430\u0441\u0441\u0438\u0432 \u0438\u0437 \u043d\u0435\u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f Vector \u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0430 VRL, \u0442\u0430\u043a \u043a\u0430\u043a \u043f\u0438\u0441\u0430\u0442\u044c \u0432\u0441\u0435 \u044d\u0442\u043e \u043d\u0430 Painless Script &#8212; \u043f\u043e\u043b\u043d\u043e\u0435 \u0431\u0435\u0437\u0443\u043c\u0438\u0435 (\u043f\u043e\u043f\u0440\u043e\u0431\u0443\u0439\u0442\u0435 \u0441\u0430\u043c\u0438).<\/p>\n<h3>\u0410\u043d\u0430\u043b\u0438\u0437<\/h3>\n<p>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u043c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0444\u0430\u0439\u043b\u043e\u0432 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u043e\u0433-\u0444\u0430\u0439\u043b \u043d\u0430 \u043d\u043e\u0434\u0435 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0438 \u0434\u043b\u044f \u0435\u0433\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0435\u0433\u043e \u043a\u0443\u0434\u0430-\u0442\u043e \u0437\u0430\u0431\u0438\u0440\u0430\u0442\u044c \u0438 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c filebeat + ELK stack (\u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u043c\u043e\u0436\u043d\u043e \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0442\u044c \u0432 ELK Arkime, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0440\u0438\u043a\u0440\u0443\u0447\u0435\u043d\u0430 Kibana\/opensearch, \u043d\u043e \u043c\u044b \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u043c \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044e). \u041f\u0440\u0438\u043c\u0435\u0440 \u043b\u043e\u0433\u0430 \u0432 ELK \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0433\u043e EICAR \u0444\u0430\u0439\u043b\u0430 (\u043c\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c yara \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043e\u0442 Elastic &#8212; \u043c\u043e\u0436\u043d\u043e \u0433\u043b\u044f\u043d\u0443\u0442\u044c <a href=\"https:\/\/github.com\/elastic\/protections-artifacts\/tree\/main\/yara\" rel=\"noopener noreferrer nofollow\"><u>\u0442\u0443\u0442<\/u><\/a>):&nbsp;<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/717\/89b\/f08\/71789bf08db9c93b5526d7ea27f29ebb.png\" width=\"806\" height=\"1186\"><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b9d\/8e0\/f44\/b9d8e0f4476c9875c80894a5cbb6cc03.png\" alt=\"\" title=\"\" width=\"746\" height=\"994\"><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/17a\/ca5\/5ff\/17aca55ff2cabcc21b3a27b851467da9.png\" width=\"806\" height=\"1186\"><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b9d\/8e0\/f44\/b9d8e0f4476c9875c80894a5cbb6cc03.png\" alt=\"\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 EICAR \u0432 ELK.\" title=\"\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 EICAR \u0432 ELK.\" width=\"746\" height=\"994\"><\/p>\n<div><figcaption>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 EICAR \u0432 ELK.<\/figcaption><\/div>\n<\/figure>\n<p>\u041a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u0441\u0430\u043c\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435, \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u043b\u044f &#8212; \u044d\u0442\u043e \u0441\u0440\u0430\u0431\u043e\u0442\u043a\u0430 YARA, \u0445\u044d\u0448\u0438, \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430. \u0412\u043d\u0443\u0442\u0440\u0438 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u043a\u0430\u043a\u0438\u0435-\u043b\u0438\u0431\u043e \u0435\u0449\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<p>\u041f\u0430\u0440\u0443 \u0441\u043a\u0440\u0438\u043d\u043e\u0432 \u043d\u0438\u0436\u0435 \u043f\u043e\u043a\u0430\u0436\u0443\u0442 \u043f\u0440\u0438\u043c\u0435\u0440 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 internal monologue:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d69\/690\/a7a\/d69690a7a00fd424037216b2a2035b3e.png\" alt=\"\u041c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435\" title=\"\u041c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435\" width=\"715\" height=\"590\"><\/p>\n<div><figcaption>\u041c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435<\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/8fd\/43e\/f88\/8fd43ef88616d875757bef47a49ca6d6.png\" alt=\"\u0421\u0440\u0430\u0431\u043e\u0442\u043a\u0438 YARA\" title=\"\u0421\u0440\u0430\u0431\u043e\u0442\u043a\u0438 YARA\" width=\"747\" height=\"624\"><\/p>\n<div><figcaption>\u0421\u0440\u0430\u0431\u043e\u0442\u043a\u0438 YARA<\/figcaption><\/div>\n<\/figure>\n<p>\u041e\u0434\u043d\u0430\u043a\u043e Strelka \u0432\u044b\u0442\u0430\u0441\u043a\u0438\u0432\u0430\u0435\u0442 \u0435\u0449\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e:<\/p>\n<ul>\n<li>\n<p>\u0422\u0438\u043f \u0444\u0430\u0439\u043b\u0430 (\u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430)<\/p>\n<\/li>\n<li>\n<p>URL\u2019\u044b \u0432 \u0444\u0430\u0439\u043b\u0430\u0445<\/p>\n<\/li>\n<li>\n<p>\u0418\u043c\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a&nbsp;<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/6bb\/adf\/b14\/6bbadfb142248977114bca4319d65922.png\" alt=\"Inserting image...\" title=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0438\u043a\u0430 \u0432 ELK \u0441 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439\" width=\"1600\" height=\"1197\"><\/p>\n<div><figcaption>\u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u0438\u043a\u0430 \u0432 ELK \u0441 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439<\/figcaption><\/div>\n<\/figure>\n<h3>\u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435<\/h3>\n<p>Strelka \u043d\u0435 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0432 \u0441\u0432\u043e\u0435\u043c \u0440\u043e\u0434\u0435 &#8212; \u043a\u043e\u043b\u043b\u0435\u0433\u0438 \u043f\u043e \u0446\u0435\u0445\u0443 \u0438\u0437 \u041a\u0430\u043d\u0430\u0434\u044b \u0440\u0430\u0437\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442 <a href=\"https:\/\/cybercentrecanada.github.io\/assemblyline4_docs\/\" rel=\"noopener noreferrer nofollow\"><u>AssemblyLine<\/u><\/a> &#8212; \u043a\u043e\u043d\u0446\u0435\u043f\u0442\u0443\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u0445\u043e\u0436\u0438\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 \u0441\u043e Strelka.<\/p>\n<p>\u0410\u0432\u0442\u043e\u0440\u044b \u0442\u0435\u043a\u0441\u0442\u0430:<br \/>\u0422\u044b\u0449\u0435\u043d\u043a\u043e \u0418\u0432\u0430\u043d, tg:<a class=\"mention\" href=\"\/users\/nerebros\">@nerebros<\/a><\/p>\n<p>\u0414\u044c\u044f\u0447\u043a\u043e\u0432 \u0418\u0432\u0430\u043d, tg: @Roosevelt_Rus <\/p>\n<\/p>\n<\/div>\n<\/div>\n<p> <!----> <!----><\/div>\n<p> <!----> <!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/723748\/\"> https:\/\/habr.com\/ru\/articles\/723748\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<p>\u041f\u0440\u0438\u0432\u0435\u0442 \u0425\u0430\u0431\u0440! \u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0434\u0435\u043b\u0430\u043b\u0438 \u043e\u0431\u0437\u043e\u0440 \u043d\u0430 opensource NTA \u2013 <a href=\"https:\/\/habr.com\/ru\/post\/676174\/\" rel=\"noopener noreferrer nofollow\"><u>Arkime<\/u><\/a>, \u0437\u0434\u0435\u0441\u044c \u043c\u044b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043c \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0442\u044c NTA \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430 \u0438 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u043c \u043e\u0431 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0442\u0440\u0430\u0444\u0438\u043a\u0435.&nbsp; \u0422\u0435\u043a\u0443\u0449\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u0431\u0443\u0434\u0435\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0440\u043e\u0434\u0430 \u043e\u0431\u0437\u043e\u0440\u043e\u043c &#8212; \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0435\u0439 \u043f\u043e \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u044b.<\/p>\n<p>\u201c\u0418\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438\u201d Arkime \u043c\u043e\u0436\u0435\u0442 \u0432 YARA, \u043d\u043e \u0432 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0430\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 \u0431\u0443\u0434\u0435\u0442 \u043d\u0430 \u043c\u043e\u0449\u043d\u043e\u0441\u0442\u044f\u0445 \u043d\u043e\u0434 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u044f\u043c\u0438 (\u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u0442\u043e\u043a\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0421\u0423\u0429\u0415\u0421\u0422\u0412\u0415\u041d\u041d\u041e\u0413\u041e \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u044f \u043c\u043e\u0449\u043d\u043e\u0441\u0442\u0438 \u043d\u043e\u0434\u044b). \u0427\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043b\u043e\u0436\u0438\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0441 \u201c\u0431\u043e\u043b\u044c\u043d\u043e\u0439 \u0433\u043e\u043b\u043e\u0432\u044b\u201d \u043d\u0430 \u201c\u0437\u0434\u043e\u0440\u043e\u0432\u0443\u044e\u201d \u043c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043f\u0440\u0438\u043a\u0440\u0443\u0442\u0438\u0442\u044c <a href=\"https:\/\/github.com\/target\/strelka\" rel=\"noopener noreferrer nofollow\"><u>Strelka<\/u><\/a>.<\/p>\n<figure class=\"\"><\/figure>\n<h3>Strelka<\/h3>\n<p>\u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0436\u0435 \u0442\u0430\u043a\u043e\u0435 <a href=\"https:\/\/target.github.io\/strelka\/#\/\" rel=\"noopener noreferrer nofollow\">Strelka<\/a>? \u041a\u0430\u043a \u0437\u0430\u044f\u0432\u043b\u044f\u0435\u0442 \u043a\u043e\u043c\u044c\u044e\u043d\u0438\u0442\u0438 &#8212; \u044d\u0442\u043e \u044d\u043d\u0442\u0435\u0440\u043f\u0440\u0430\u0439\u0437 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u043f\u043e\u0438\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e YARA \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 (\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e) \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 (\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u0435 \u0434\u0435\u043b\u043e, \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u0432). \u0410\u0433\u0435\u043d\u0442\u044b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0430 Go Lang, \u0447\u0442\u043e \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043a\u0440\u043e\u0441\u0441\u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435\u043d\u043d\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438. \u041d\u0430\u0433\u043b\u044f\u0434\u043d\u044b\u0439 usecase &#8212; \u043f\u043e\u0438\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u043e\u0448\u0435\u043b \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b, \u043d\u043e \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u0430. \u041d\u0430 \u0444\u0430\u0439\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 YARA \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0443 \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u0432\u0441\u0435\u043c \u0430\u0433\u0435\u043d\u0442\u0430\u043c \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0439 \u043a\u0435\u0439\u0441 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0447\u0443\u0442\u044c \u0434\u0430\u043b\u044c\u0448\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435. <\/p>\n<p>\u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u043e Strelka \u043c\u0430\u043b\u043e \u043a\u0442\u043e \u0437\u043d\u0430\u0435\u0442 \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0432 \u0421\u041d\u0413. \u0420\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0432 \u044d\u0442\u043e\u043c \u043d\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e \u0443\u0434\u0438\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e &#8212; \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0442\u0430\u043a\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432\u043e\u0437\u043b\u0430\u0433\u0430\u044e\u0442 \u043d\u0430 \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b\u0435 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u044f (\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b, EDR \u0438 \u043f\u0440.),&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0441\u0430\u043c\u043e\u043f\u0438\u0441\u043d\u043e\u0435<s>, \u043b\u0438\u0431\u043e \u0432\u043e\u0432\u0441\u0435 \u043d\u0435 \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043e \u0442\u0430\u043a\u0438\u0445 \u0437\u0430\u0434\u0430\u0447\u0430\u0445<\/s>.<\/p>\n<p>\u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e Strelka \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u043b\u0430\u0441\u044c \u043a\u0430\u043a \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0443, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 IDS\/IPS \u0441\u0435\u043d\u0441\u043e\u0440\u0430\u0445, \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b \u043d\u0430\u043c \u0438 \u043d\u0443\u0436\u0435\u043d \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044f \u043d\u0430\u0448\u0435\u0433\u043e NTA \u2013 Arkime.<\/p>\n<p>\u0418\u0437 \u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u043e \u043f\u0440\u0438\u044f\u0442\u043d\u044b\u0445 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 &#8212; \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u043f\u0435\u0441\u043e\u043a \u0434\u043b\u044f&nbsp; \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 Cuckoo sandbox, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0440\u0438\u043a\u0440\u0443\u0442\u0438\u0442\u044c \u043b\u044e\u0431\u043e\u0439 \u0434\u0440\u0443\u0433\u043e\u0439, \u0435\u0441\u043b\u0438 \u0432\u044b \u0443\u043c\u0435\u0435\u0442\u0435 \u0432 Python). \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0442\u0430\u043a\u0443\u044e \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0435\u0441\u043e\u043a \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u043e \u0441\u0435\u0442\u0438 \u0444\u0430\u0439\u043b\u043e\u0432.<\/p>\n<p>\u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430 Strelka \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0433\u0438\u0431\u043a\u0430\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u043a\u0430\u043a \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0443\u044e \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044e \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432, \u0442\u0430\u043a \u0438 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u0443\u044e \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u044e \u0434\u043b\u044f \u043a\u0440\u043e\u0432\u0430\u0432\u043e\u0433\u043e \u044d\u043d\u0442\u0435\u0440\u043f\u0440\u0430\u0439\u0437\u0430 (\u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u0432).<\/p>\n<h3>\u0412 \u0447\u0435\u043c \u043f\u0440\u043e\u0444\u0438\u0442?<\/h3>\n<p>\u0412\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043f\u043e\u043b\u043d\u0435 \u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441 &#8212; \u0437\u0430\u0447\u0435\u043c \u0432\u043e\u0432\u0441\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435, \u043a\u043e\u0433\u0434\u0430 \u0435\u0441\u0442\u044c EDR\/\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441 \u0438 \u043f\u0440\u043e\u0447\u0438\u0435 \u0421\u0417\u0418 \u0441 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u043e\u043c (\u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 146% \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u0442\u0443\u043b\u0430\u043c\u0438)?<\/p>\n<p>\u041e\u0442\u0432\u0435\u0447\u0443 \u0441\u043f\u0438\u0441\u043a\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u043a\u0440\u043e\u044e \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435:<\/p>\n<ol>\n<li>\n<p>\u041b\u044e\u0431\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043c\u043e\u0436\u0435\u0442 \u0431\u0435\u0441\u0441\u043b\u0435\u0434\u043d\u043e \u0438\u0441\u0447\u0435\u0437\u043d\u0443\u0442\u044c \u043d\u0430 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430\u0445 \u0434\u043e \u0435\u0433\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u043d\u043e \u043d\u0435 \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0445\u0432\u0430\u0447\u0435\u043d NTA;<\/p>\n<\/li>\n<li>\n<p>\u0422\u043e\u0447\u043d\u043e\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043e\u0442\u043a\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u0438 \u043a\u043e\u0433\u0434\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b;<\/p>\n<\/li>\n<li>\n<p>\u041c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u043b\u0438 \u0444\u0430\u0439\u043b \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043e\u0442 \u043e\u0434\u043d\u043e\u0433\u043e \u0443\u0437\u043b\u0430 \u043a \u0434\u0440\u0443\u0433\u043e\u043c\u0443;<\/p>\n<\/li>\n<li>\n<p>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 Lateral Movement (\u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u043f\u0440\u043e\u0441\u0442\u043e latmov);<\/p>\n<\/li>\n<li>\n<p>\u041f\u0435\u0440\u0435\u0434\u0430\u0447\u0430 \u0444\u0430\u0439\u043b\u0430 \u0441 \u043c\u0430\u0448\u0438\u043d\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u043e\u0448\u043b\u0430 \u0432 0,00001% \u0431\u0435\u0437 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u0421\u0417\u0418 (\u0438\u043b\u0438 \u0432\u043e\u0432\u0441\u0435 \u043d\u0435 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439);<\/p>\n<\/li>\n<li>\n<p>\u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u044f \u0438 \u0443\u043f\u0440\u043e\u0449\u0435\u043d\u0438\u0435 \u0440\u0443\u0442\u0438\u043d\u043d\u044b\u0445 \u0437\u0430\u0434\u0430\u0447 Detection Engineering\u2019\u0430 (\u0443\u0434\u043e\u0431\u043d\u043e \u0441\u043a\u0430\u0440\u043c\u043b\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b \u0441\u0442\u0440\u0435\u043b\u043a\u0435 \u0438 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0443\u0434\u043e\u0431\u043d\u043e (\u043f\u043e\u0447\u0442\u0438) \u0440\u0430\u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 JSON\u2019e, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b \u0438 \u043a\u0443\u0434\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u0445\u043e\u0442\u0438\u0442\u0435).<\/p>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>TL;DR \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435:<\/summary>\n<div class=\"spoiler__content\">\n<ol>\n<li>\n<p>\u041a\u0430\u043a \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e, \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b \u043d\u0435 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0441\u0435\u0440\u0435\u0431\u0440\u044f\u043d\u043e\u0439 \u043f\u0443\u043b\u0435\u0439 \u043e\u0442 \u0432\u0441\u0435\u0445 \u0431\u043e\u043b\u0435\u0437\u043d\u0435\u0439, \u0434\u0430 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u0430 \u0438\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u043d\u0435 \u043c\u0430\u043b\u043e. \u0425\u043e\u0440\u043e\u0448\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043a\u0440\u0430\u0441\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u044d\u0442\u0438\u0447\u043d\u044b\u0439 \u0445\u0430\u043a\u0435\u0440) \u0441\u043c\u043e\u0436\u0435\u0442 \u043b\u0435\u0433\u043a\u043e \u043e\u0431\u043e\u0439\u0442\u0438 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441 \u0434\u0430\u0436\u0435 \u0434\u043b\u044f \u0438\u0437\u0431\u0438\u0442\u043e\u0433\u043e \u0438 \u043e\u0442\u043b\u0438\u0447\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e mimikatz\u2019a. \u0410 \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0435 \u0440\u0435\u0431\u044f\u0442\u0430 \u0438\u0437 \u0410\u0420\u0422 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a \u0432\u043e\u0432\u0441\u0435 \u0441\u0442\u0430\u0440\u0430\u044e\u0442\u0441\u044f \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u0432\u043e\u0438\u0445 \u0441\u043b\u0435\u0434\u043e\u0432. \u041f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043d\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043a\u0430\u043d\u0430\u043b\u043e\u043c \u0441\u0432\u043e\u0435\u0433\u043e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 smb \u0438\u043b\u0438 \u043b\u044e\u0431\u0438\u043c\u044b\u043c psexec\u2019\u043e\u043c) \u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u0441 \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u044b\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435\u043c, \u0432\u0440\u044f\u0434 \u043b\u0438 \u0443\u0434\u0430\u0441\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043e\u0431\u0440\u0430\u0437\u0435\u0446 \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 \u0446\u0435\u043b\u0435\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043e\u0434\u043d\u0430\u043a\u043e \u043e\u043d \u043e\u0441\u044f\u0434\u0435\u0442 \u043d\u0430 NTA \u0438 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d strelka. \u0418\u0437 \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0434\u0435\u0442\u0435\u043a\u0442 \u0438 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0435\u0442\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0430\u0433\u0435\u043d\u0442\u043e\u0432\/\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430 \u0438 \u043f\u0440, \u043d\u043e \u0438 \u043d\u0430 \u0441\u0435\u0442\u0438. \u0425\u043e\u0447\u0443 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0440\u0435\u0447\u044c \u0438\u0434\u0435\u0442 \u043d\u0435 \u043e \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u043e \u043d\u0430\u0441\u044b\u0449\u0435\u043d\u0438\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430 \u0432\u0430\u0436\u043d\u044b\u043c\u0438 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u043c\u0438, \u043e \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0440\u0435\u0441\u043f\u043e\u043d\u0437\u0435 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435, \u0447\u0442\u043e \u0432 \u0431\u0443\u0434\u0443\u0449\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u0442 \u043a \u0441\u0432\u043e\u0435\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u043c\u0443 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c\u0443 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e.<\/p>\n<\/li>\n<li>\n<p>\u0410\u0433\u0435\u043d\u0442\u044b \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043d\u0430\u0432\u0435\u0440\u043d\u044f\u043a\u0430 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443\u0442 \u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0442\u043e\u0433\u043e \u0438\u043b\u0438 \u0438\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043c\u0430\u043a\u0441\u0438\u043c\u0443\u043c &#8212; \u043f\u043e\u0434\u0441\u0432\u0435\u0442\u044f\u0442 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 (\u0432\u0441\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u043c \u043e Transfer Zone), \u043d\u043e \u0435\u0434\u0432\u0430 \u043b\u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443\u0442, \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u043e\u044f\u0432\u0438\u043b\u0441\u044f \u0444\u0430\u0439\u043b (\u0435\u0441\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0441\u0432\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c\u0438 \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u0433\u043e\u0432 \u0441 \u0445\u043e\u0441\u0442\u0430, \u0447\u0442\u043e \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0441\u0430\u043c\u043e\u0433\u043e \u0446\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u0438). \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0436\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 Strelk\u2019\u043e\u0439 &#8212; \u0443 \u0432\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435\u043e\u0441\u043f\u043e\u0440\u0438\u043c\u043e\u0435 \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u043e \u0434\u0430\u0442\u0435, \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u0432\u0435\u0434\u044c Strelka \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u0445\u044d\u0448\u0438). \u0422\u0430\u043a\u043e\u0439 \u043f\u043e\u0434\u0445\u043e\u0434 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u043e\u043a\u0440\u0430\u0449\u0430\u0435\u0442 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0430 \u043a\u0430\u043a \u043c\u044b \u0437\u043d\u0430\u0435\u043c,&nbsp; \u043f\u0440\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u043c \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438, \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0447\u0435\u043d\u044c \u043a\u0440\u0438\u0442\u0438\u0447\u043d\u044b\u043c \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u043c &#8212; \u0438\u043d\u043e\u0433\u0434\u0430 \u0441\u0435\u043a\u0443\u043d\u0434\u044b \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0442, \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f \u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d \u0438\u043b\u0438 \u043d\u0435\u0442. <\/p>\n<\/li>\n<li>\n<p>\u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u0438\u0440\u0443\u0441\u044b \u043c\u043e\u0433\u0443\u0442 \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0441 \u0442\u0435\u0447\u0435\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438\u043b\u0438 \u0438\u043d\u044b\u043c\u0438 \u0444\u0430\u043a\u0442\u043e\u0440\u0430\u043c\u0438 (\u0440\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u0434\u043b\u044f \u0438\u0437\u0431\u0435\u0436\u0430\u043d\u0438\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f), \u043d\u043e Strelka \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442 \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0444\u0430\u0439\u043b\u043e\u0432, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 imphash \u0438 \u043f\u0438\u0448\u0435\u0442 \u0435\u0433\u043e \u0432 \u043b\u043e\u0433 (imphash &#8212; \u044d\u0442\u043e \u0445\u044d\u0448 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430). \u041a\u0440\u043e\u043c\u0435 imphash \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f: \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430, \u0434\u043b\u044f \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u0431\u0438\u043d\u0430\u0440\u044c, \u0432\u0441\u0435 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0432\u0435\u0440\u0441\u0438\u044f, \u0446\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u0438 \u043f\u0440.), \u041e\u0421, \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a (\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0438) \u0438 \u043c\u043d\u043e\u0433\u0438\u0435 \u0434\u0440\u0443\u0433\u0438\u0435 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438. \u041f\u043e \u0442\u0430\u043a\u0438\u043c \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c YARA \u043f\u0440\u0430\u0432\u0438\u043b\u043e (\u0438\u043b\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438 &#8212; \u0432\u0435\u0434\u044c \u043b\u043e\u0433\u0438 Strelka \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 SIEM), \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043e\u043d \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f (\u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u0441\u043f\u0440\u0430\u0432\u0435\u0434\u043b\u0438\u0432\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u043e\u0439 \u043c\u0430\u043b\u0432\u0430\u0440\u0438 \u0434\u043b\u044f \u0438\u0437\u0431\u0435\u0436\u0430\u043d\u0438\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0434\u043b\u044f \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f imphash, \u043e\u0434\u043d\u0430\u043a\u043e \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u043e\u0432\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a).&nbsp;<\/p>\n<\/li>\n<li>\n<p>\u0412\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e latmov \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043b\u043e\u0433\u0430\u0445 \u0438 \u0441\u0430\u043c\u043e\u0439 \u0441\u0435\u0442\u0438, \u043e\u0434\u043d\u0430\u043a\u043e \u043a\u0430\u043a \u0431\u044b\u0442\u044c, \u043a\u043e\u0433\u0434\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0434\u043b\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b (\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u0447\u0442\u043e \u0431\u044b \u0443\u0441\u043b\u043e\u0436\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0442\u043d\u0438\u043a\u0430\u043c\u0438)? \u041f\u0440\u043e\u0444\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u0441\u043f\u0430\u0441\u0442\u0438 &#8212; \u0432\u0435\u0434\u044c \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u043e\u0432 \u0438 \u0441\u0435\u0442\u0438, \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u043d\u0438\u0447\u0435\u043c \u043d\u0435 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430. \u041e\u0434\u043d\u0430\u043a\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0443\u0442 \u043d\u0430 \u043f\u043e\u043c\u043e\u0449\u044c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 Strelka &#8212; \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u0432\u043e\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u0441\u0435\u0442\u0438 (\u0430 \u043a\u0430\u043a \u0438\u043d\u0430\u0447\u0435?), \u043e\u043d\u0438 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u044b. \u0421\u043e\u0433\u043b\u0430\u0441\u0438\u0442\u0435\u0441\u044c, \u0447\u0442\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0445\u0430\u043a\u0442\u0443\u043b\u044b \u0438 \u043c\u0430\u043b\u0432\u0430\u0440\u044c \u043f\u0440\u0438 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u0435\u043d\u0438\u0438 \u0435\u0436\u0435\u0434\u043d\u0435\u0432\u043d\u044b\u0445 \u043e\u0431\u044f\u0437\u0430\u043d\u043d\u043e\u0441\u0442\u0435\u0439?<\/p>\n<\/li>\n<li>\n<p>\u0418\u0434\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442. \u041d\u0430\u0432\u0435\u0440\u043d\u044f\u043a\u0430 \u0434\u0430\u0436\u0435 \u0432 \u043a\u0440\u0443\u043f\u043d\u0435\u0439\u0448\u0438\u0445 \u0431\u0430\u043d\u043a\u0430\u0445 \u043c\u0438\u0440\u0430 \u043d\u0430\u0439\u0434\u0435\u0442\u0441\u044f 1 \u043c\u0430\u0448\u0438\u043d\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435\u0442 \u0421\u0417\u0418 \u0438\u043b\u0438 \u0432\u043d\u0435 \u0434\u043e\u043c\u0435\u043d\u0430, \u0438\u043b\u0438 \u0432\u043e\u0432\u0441\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e\u043c \u0432 \u0441\u0435\u0442\u044c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 raspberry pi, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u0430\u044f \u0432 RJ-45 \u0440\u043e\u0437\u0435\u0442\u043a\u0443 \u0441\u0435\u0442\u0438 ip-\u0442\u0435\u043b\u0435\u0444\u043e\u043d\u0438\u0438).&nbsp; \u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0421\u0417\u0418 \u0441\u043c\u043e\u0433\u0443\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c (<strong>\u0415\u0421\u041b\u0418<\/strong> \u0441\u043c\u043e\u0433\u0443\u0442) \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u0430\u043a\u0442 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u043d\u0430 \u0430\u0442\u0430\u043a\u0443\u0435\u043c\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435, \u043d\u043e Strelka \u0442\u043e\u0447\u043d\u043e \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u0442, \u043e\u0442\u043a\u0443\u0434\u0430 \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u0442\u0430\u043a\u043e\u0439 \u0444\u0430\u0439\u043b. \u0412 \u0431\u043e\u043b\u0435\u0435 \u0437\u0440\u0435\u043b\u044b\u0445, \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0418\u0411, \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430\u0445 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0444\u0430\u043a\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0432 \u0441\u0435\u0442\u044c \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430, \u0447\u0442\u043e \u043f\u043e\u0441\u043b\u0443\u0436\u0438\u0442 \u0445\u043e\u0440\u043e\u0448\u0438\u043c \u043f\u043e\u0432\u043e\u0434\u043e\u043c \u0434\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f &#8212; \u043f\u0440\u0438 \u0442\u0430\u043a\u043e\u043c \u0440\u0430\u0441\u043a\u043b\u0430\u0434\u0435 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0439, Strelka \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u0442 \u0430\u043d\u0430\u043b\u0438\u0437 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u043d\u0435\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430.<\/p>\n<\/li>\n<\/ol>\n<\/div>\n<\/details>\n<p>\u0420\u0435\u0437\u044e\u043c\u0438\u0440\u0443\u044f, \u0432\u0441\u0435 \u044d\u0442\u0438 \u043f\u0443\u043d\u043a\u0442\u044b \u043c\u043e\u0436\u043d\u043e \u0441\u0432\u0435\u0441\u0442\u0438 \u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 \u043f\u0440\u043e\u0444\u0438\u0442\u0443:<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0423\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435 \u0432\u0438\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0441\u044b\u0449\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0432 \u0441\u0435\u0442\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043b\u044e\u0441\u043e\u0432 \u043d\u0435 \u043c\u0430\u043b\u043e, \u043e\u0434\u043d\u0430\u043a\u043e \u0435\u0441\u0442\u044c \u043e\u0447\u0435\u043d\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u043d\u044e\u0430\u043d\u0441, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0435, \u043e\u043d\u0438 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u044b <strong>\u041d\u0415\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c<\/strong> \u043a\u0430\u043d\u0430\u043b\u043e\u043c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0444\u0430\u0439\u043b \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u043f\u043e RDP \u0438\u043b\u0438 \u043f\u043e \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u043c\u0443 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0443 &#8212; \u0440\u0430\u0437\u0443\u043c\u0435\u0435\u0442\u0441\u044f, \u043e\u043d \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d). \u0412 \u043a\u043e\u043f\u0438\u043b\u043a\u0443 \u043c\u0438\u043d\u0443\u0441\u043e\u0432 \u043c\u043e\u0436\u043d\u043e \u0442\u0430\u043a \u0436\u0435 \u043e\u0442\u043d\u0435\u0441\u0442\u0438 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u0432 \u043b\u043e\u0433\u0430\u0445 Strelka \u0430\u0439\u043f\u0438\u0448\u043d\u0438\u043a\u043e\u0432, \u043e\u0442\u043a\u0443\u0434\u0430 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0432\u044b\u0434\u0435\u0440\u043d\u0443\u0442, \u041d\u041e! \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e logstash \u043e\u0431\u043e\u0433\u0430\u0442\u0438\u0442\u044c \u0442\u0430\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<h3>\u041f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043d\u043e\u0434\u044b \u0437\u0430\u0445\u0432\u0430\u0442\u0430 <\/h3>\n<details class=\"spoiler\">\n<summary>!!!\u0414\u0438\u0441\u043a\u043b\u0435\u0439\u043c\u0435\u0440!!! <\/summary>\n<div class=\"spoiler__content\">\n<p>\u041c\u044b \u043d\u0435 \u043f\u0440\u0435\u0442\u0435\u043d\u0434\u0443\u0435\u043c (\u0445\u043e\u0442\u044f \u0441\u0442\u0440\u0435\u043c\u0438\u043c\u0441\u044f \u043a \u043d\u0435\u0439) \u043d\u0430 \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e Suricata, Zeek, Strelka \u0438 \u0442\u0434, \u0430 \u0442\u0430\u043a \u0436\u0435 \u043d\u0430 \u043f\u043e\u043b\u043d\u043e\u0442\u0443 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u0442\u0440\u0435\u0431\u043d\u043e\u0441\u0442\u0435\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430. \u041c\u044b \u0442\u043e\u0447\u043d\u043e \u0437\u043d\u0430\u0435\u043c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0430\u0445, \u043d\u043e \u043c\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0447\u0430\u043b\u0438 \u0441\u0432\u043e\u0439 \u043f\u0443\u0442\u044c \u0438, \u0441\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c, \u043c\u044b \u0441\u0442\u0430\u043d\u0435\u043c \u043b\u0443\u0447\u0448\u0435, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435, \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0432\u0430\u0448\u0438\u043c \u0441\u043e\u0432\u0435\u0442\u0430\u043c \u0438 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f\u043c. \u201c\u0421\u043e\u0432\u0435\u0442 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u043c: \u043d\u0430\u0447\u043d\u0438\u0442\u0435\u201d (\u0441) \u0412\u0435\u043b\u0438\u043a\u0438\u0435 \u0446\u0438\u0442\u0430\u0442\u044b \u0412\u0435\u043b\u0438\u043a\u0438\u0445 \u043b\u044e\u0434\u0435\u0439 =)<\/p>\n<\/div>\n<\/details>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u0438\u0445 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u0434\u043e \u043e\u0442\u043a\u0443\u0434\u0430-\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c. \u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043b\u0438, \u0447\u0442\u043e Arkime \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u0432\u044b\u0434\u0435\u0440\u0433\u0438\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 (\u043d\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u0443\u0435\u0442 \u0438\u0445 \u0438\u043c\u0435\u043d\u0430).&nbsp; \u041a\u0440\u043e\u043c\u0435 \u0441\u0430\u043c\u043e\u0433\u043e Arkime, \u043d\u0430 \u043d\u043e\u0434\u0435 \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 Suricata. \u0418\u043c\u0435\u043d\u043d\u043e \u0441 \u0435\u0435 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043c\u044b \u0445\u043e\u0442\u0435\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b. \u041e\u0434\u043d\u0430\u043a\u043e, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e Suricata \u043d\u0435 \u043e\u0441\u043e\u0431\u043e \u0430\u0434\u0435\u043a\u0432\u0430\u0442\u043d\u043e \u0432\u044b\u0434\u0438\u0440\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438\u0437 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0438\u0437-\u0437\u0430 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0435\u0439 \u043f\u0435\u0440\u0435\u0441\u0431\u043e\u0440\u0430 \u0441\u0435\u0441\u0441\u0438\u0438. \u0411\u043e\u043b\u0435\u0435 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u043e\u043c \u0431\u0443\u0434\u0435\u0442 Zeek (\u0440\u0430\u043d\u0435\u0435 Bro) \u0441 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043d\u0430 \u044d\u043a\u0441\u0442\u0440\u0430\u043a\u0442 \u0444\u0430\u0439\u043b\u043e\u0432. <\/p>\n<p>\u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0442\u043e\u0438\u0442 \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0441\u0430\u043c\u043e\u0433\u043e Zeek, \u043d\u043e \u043c\u044b \u043d\u0430\u0434\u0435\u0435\u043c\u0441\u044f, \u0447\u0442\u043e \u0441 \u044d\u0442\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0443 \u0432\u0430\u0441 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 =). \u041f\u043e\u0441\u043b\u0435 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0439 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 (\u0432\u044b\u0431\u043e\u0440 \u043f\u043e\u0440\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0441\u043b\u0443\u0448\u043a\u0438 \u0438 \u0442.\u0434.), \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e&nbsp;Zeek (\u0441\u043c\u0435\u0441\u044c Lua). \u0422\u0430\u043a\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0435\u0441\u0442\u044c &#171;\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438&#187;, \u043d\u043e \u043e\u043d \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0431\u0438\u0440\u0430\u0442\u044c \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u043f\u043e\u0434\u0440\u044f\u0434 \u0438 \u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d.<\/p>\n<p>\u0421\u0430\u043c Zeek \u0443\u0441\u0442\u0440\u043e\u0435\u043d \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0445\u0438\u0442\u0440\u043e \u0438 \u043f\u043e\u0434\u0440\u0430\u0437\u0443\u043c\u0435\u0432\u0430\u0435\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0431\u044f \u0446\u0435\u043b\u0443\u044e \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u0443\u0435\u043c\u0443\u044e&nbsp; \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043e\u0436\u0435\u0442 \u0434\u0435\u043b\u0430\u0442\u044c \u0432\u0441\u0435 \u0447\u0442\u043e \u0432\u044b \u0437\u0430\u0445\u043e\u0442\u0438\u0442\u0435, \u043f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u043f\u0440\u044f\u043c\u044b\u0445 \u0440\u0443\u043a. \u0414\u043b\u044f \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u201c\u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c\u201d \u0435\u0433\u043e \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 Zeek. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f standalone \u0438\u043d\u0441\u0442\u0430\u043b\u044f\u0446\u0438\u0438, \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0432\u043d\u0435\u0441\u0442\u0438 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0443 <code>\u201c@load &lt;\u0438\u043c\u044f \u043c\u043e\u0434\u0443\u043b\u044f&gt;\u201d<\/code>&nbsp; \u0432 \u0444\u0430\u0439\u043b <code>\u201c\u043f\u0440\u0435\u0444\u0438\u043a\u0441_\u043a\u043e\u0440\u043d\u044f_zeek\/share\/zeek\/site\/local.zeek\u201d<\/code>.<\/p>\n<p>\u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 &#8212; \u043f\u0443\u0442\u0438 \u043a \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0438\u0437 \u043f\u0430\u043f\u043a\u0438 share \u0438 share\/policy, \u0438 \u0438\u0434\u0435\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438 &#8212; \u043a\u0430\u0436\u0434\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0441\u0432\u043e\u0435\u0439 \u043f\u0430\u043f\u043a\u0435. \u0414\u0435\u0444\u043e\u043b\u0442\u043d\u044b\u0439 \u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0430\u0441\u0442\u044c\u044e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f FileAnalysis,&nbsp; \u0438 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e \u043f\u0443\u0442\u0438 \u201cframeworks\/files\/extract-all-files\u201d. \u041a\u0430\u043a \u0443\u0436\u0435 \u0431\u044b\u043b\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0432\u044b\u0448\u0435, \u0441\u043a\u0440\u0438\u043f\u0442 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0434\u0438\u0440\u0430\u0442\u044c \u0432\u0441\u0435 \u043f\u043e\u0434\u0440\u044f\u0434, \u0447\u0435\u0433\u043e \u043c\u044b \u0445\u043e\u0442\u0438\u043c \u0438\u0437\u0431\u0435\u0436\u0430\u0442\u044c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u044b <s>\u0441\u0432\u043e\u0440\u043e\u0432\u0430\u043b\u0438<\/s> \u0432\u0434\u043e\u0445\u043d\u043e\u0432\u0438\u043b\u0438\u0441\u044c \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u0447\u0435\u0447\u043d\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u0446\u0438\u0435\u0439 \u043e\u0442 Security Onion Solutions, \u0433\u0434\u0435 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u043d \u0441\u043b\u043e\u0432\u0430\u0440\u044c \u0441 mime \u0442\u0438\u043f\u0430\u043c\u0438 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0438\u0445 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f\u043c\u0438. \u0422\u0430\u043a \u043a\u0430\u043a \u0434\u0430\u043d\u043d\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e SOS, \u043c\u044b \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043c \u0441\u0432\u043e\u0438 \u0442\u0438\u043f\u044b \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0438\u0445.<\/p>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0441\u043a\u0440\u0438\u043f\u0442<\/p>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-347704","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/347704","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=347704"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/347704\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=347704"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=347704"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=347704"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}