{"id":502439,"date":"2026-11-10T11:40:40","date_gmt":"2026-11-10T08:40:40","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=502439"},"modified":"2026-11-10T11:40:40","modified_gmt":"2026-11-10T08:40:40","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=502439","title":{"rendered":"\u042f \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b whoami \u0438\u0437 1\u0421, \u0430 SIEM \u043f\u0440\u043e\u043c\u043e\u043b\u0447\u0430\u043b\u0430. \u041a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u041e\u0442\u043a\u0440\u044b\u0432\u0430\u044e \u0432\u043d\u0435\u0448\u043d\u044e\u044e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u0432 1\u0421. \u041d\u0430\u0436\u0438\u043c\u0430\u044e \u043a\u043d\u043e\u043f\u043a\u0443. \u0412 \u043e\u043a\u043d\u0435 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f <code>ws01\\wc01<\/code>.<\/p>\n<p>\u042d\u0442\u043e <code>whoami<\/code>, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0439 \u0438\u0437 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 <code>.epf<\/code>. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0443\u0442 \u043d\u0435\u0442, \u0442\u0430\u043a \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430. \u041c\u0435\u043d\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043e\u0432\u0430\u043b\u043e \u0434\u0440\u0443\u0433\u043e\u0435: \u0443\u0432\u0438\u0434\u0438\u0442 \u043b\u0438 \u044d\u0442\u043e SOC. \u0411\u0430\u0437\u0430 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438; \u0447\u0442\u043e \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421, \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443 \u043d\u0438\u0436\u0435.<\/p>\n<p>\u0418\u0434\u0443 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 1\u0421. \u041f\u0443\u0441\u0442\u043e: \u043d\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043d\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b. \u0422\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0440\u0430 \u0442\u0440\u0430\u043d\u0437\u0430\u043a\u0446\u0438\u0439 <code>Begin<\/code>\/<code>Commit<\/code>.<\/p>\n<p>\u0418\u0434\u0443 \u0432 SIEM. \u0422\u043e\u0436\u0435 \u043f\u0443\u0441\u0442\u043e: \u043f\u0440\u0430\u0432\u0438\u043b \u043f\u043e\u0434 \u044d\u0442\u043e \u043d\u0435\u0442 \u043d\u0438 \u0443 \u043c\u0435\u043d\u044f, \u043d\u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0443 \u0432\u0430\u0441.<\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/83\/5e\/79\/835e7960a47f5f06b29c90785144ad20.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/83\/5e\/79\/835e7960a47f5f06b29c90785144ad20.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/83\/5e\/79\/835e7960a47f5f06b29c90785144ad20.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0412\u043d\u0435\u0448\u043d\u044f\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0432 1\u0421 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0430 <\/em><code><em>whoami<\/em><\/code> <\/p>\n<p>\u0414\u043b\u044f \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e 1\u0421 \u2014 \u0437\u043e\u043b\u043e\u0442\u0430\u044f \u0436\u0438\u043b\u0430. \u0412 \u043e\u0434\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043b\u0435\u0436\u0430\u0442 \u0434\u0435\u043d\u044c\u0433\u0438, \u0437\u0430\u0440\u043f\u043b\u0430\u0442\u044b, \u043a\u043e\u043d\u0442\u0440\u0430\u0433\u0435\u043d\u0442\u044b \u0438 \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0430 \u0443 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u0435\u0441\u0442\u044c \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043b\u044e\u0431\u043e\u0439 \u043a\u043e\u0434 \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0435, \u0433\u0434\u0435 \u043e\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. 1\u0421 \u0441\u0442\u043e\u0438\u0442 \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439, \u043d\u043e \u0432 SOC, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u044f \u0432\u0438\u0434\u0435\u043b \u043d\u0430 \u043f\u0440\u043e\u0435\u043a\u0442\u0430\u0445, \u0436\u0443\u0440\u043d\u0430\u043b 1\u0421 \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u043b\u0438: SIEM \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043b\u043e\u0433\u0438 \u0434\u043e\u043c\u0435\u043d\u0430, \u043f\u043e\u0447\u0442\u044b \u0438 \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u043e\u0432, \u0430 1\u0421 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0441\u043b\u0435\u043f\u044b\u043c \u043f\u044f\u0442\u043d\u043e\u043c.<\/p>\n<p>\u0418 \u0434\u0435\u043b\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0434\u0430\u043d\u043d\u044b\u0445. \u0428\u0442\u0430\u0442\u043d\u044b\u043c\u0438 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 1\u0421 \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 (<code>WScript.Shell<\/code>), \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e HTTP (<code>HTTP\u0421\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435<\/code>) \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0447\u0442\u0443 (<code>\u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u041f\u043e\u0447\u0442\u0430\u041f\u0440\u043e\u0444\u0438\u043b\u044c<\/code>). \u0410 \u0441 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c \u043a \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0442\u043e\u0440\u0443 \u043a\u043e\u0434 \u0432 \u043e\u0431\u0449\u0435\u043c \u043c\u043e\u0434\u0443\u043b\u0435 \u043f\u043e\u0441\u043b\u0435 F7 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e, \u043a\u0442\u043e \u043e\u0442\u043a\u0440\u043e\u0435\u0442 \u0431\u0430\u0437\u0443: \u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0430 \u0441\u0440\u0430\u0437\u0443 \u043d\u0430 \u0432\u0441\u044e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044e, \u0431\u0435\u0437 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0447\u0435\u0433\u043e-\u043b\u0438\u0431\u043e \u043b\u0438\u0448\u043d\u0435\u0433\u043e.<\/p>\n<p>\u041d\u0430 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0430\u0445 \u044f \u043d\u0435 \u0440\u0430\u0437 \u0437\u0430\u0445\u043e\u0434\u0438\u043b \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0447\u0435\u0440\u0435\u0437 1\u0421. \u0412\u0441\u0442\u0440\u0435\u0447\u0430\u043b \u0438 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 1\u0421, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442, \u0438 \u0442\u043e\u0433\u0434\u0430 \u0432\u0441\u0451 \u0440\u0435\u0448\u0430\u0435\u0442 \u043f\u0430\u0440\u043e\u043b\u044c.<\/p>\n<p>\u041a\u0430\u043a \u0430\u0442\u0430\u043a\u0443\u044e\u0442 1\u0421, \u043d\u0430 \u0425\u0430\u0431\u0440\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0445\u043e\u0440\u043e\u0448\u043e, \u043f\u0440\u0438\u0447\u0451\u043c \u043f\u0440\u043e \u0440\u0430\u0437\u043d\u044b\u0435 \u0432\u0435\u043a\u0442\u043e\u0440\u044b, \u043e\u0442 \u043a\u043e\u043d\u0441\u043e\u043b\u0438 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0430 \u0434\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043e\u043a (<a href=\"https:\/\/habr.com\/ru\/articles\/695586\/\" rel=\"noopener nofollow\">\u0440\u0430\u0437<\/a>, <a href=\"https:\/\/habr.com\/ru\/post\/352566\/\" rel=\"noopener nofollow\">\u0434\u0432\u0430<\/a>, <a href=\"https:\/\/habr.com\/ru\/companies\/lmsecurity\/articles\/860016\/\" rel=\"noopener nofollow\">\u0442\u0440\u0438<\/a>).<\/p>\n<p>\u0421\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0442\u043e\u0436\u0435 \u0435\u0441\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b. Kaspersky \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b, <a href=\"https:\/\/securelist.ru\/investigating-1c-compromise\/117167\/\" rel=\"noopener nofollow\">\u0433\u0434\u0435 \u0438\u0441\u043a\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 1\u0421<\/a> \u043f\u0440\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438, \u0430 \u0432 <a href=\"https:\/\/codeby.net\/threads\/rassledovaniye-komprometatsii-1s-i-vymogatelya-cherez-gpo.96602\/\" rel=\"noopener nofollow\">\u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u043d\u0430 codeby<\/a> \u0435\u0441\u0442\u044c \u0447\u0435\u043a-\u043b\u0438\u0441\u0442 \u0434\u043b\u044f SIEM \u0438 Sigma-\u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043d\u0430 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b <code>rphost.exe<\/code>.<\/p>\n<p>\u0412 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0445 SIEM 1\u0421 \u0442\u043e\u0436\u0435 \u043d\u0435 \u0437\u0430\u0431\u044b\u0442\u0430: \u0432 KUMA \u0435\u0441\u0442\u044c <a href=\"https:\/\/support.kaspersky.com\/help\/KUMA\/3.0.1\/ru-RU\/244776.htm\" rel=\"noopener nofollow\">\u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0440 \u0434\u043b\u044f \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/a> (\u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0443 \u0432 XML), \u0434\u043b\u044f MaxPatrol SIEM Positive Technologies <a href=\"https:\/\/www.securitylab.ru\/news\/533683.php\" rel=\"noopener nofollow\">\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0430 \u043f\u0430\u043a\u0435\u0442 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u0438\u0437\u044b 1\u0421<\/a>.<\/p>\n<p>\u041d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0432 SIEM, \u043b\u043e\u0432\u0438\u0442 \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438\u0437 1\u0421 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d \u043d\u0430 \u0430\u0442\u0430\u043a\u0430\u0445, \u044f \u043d\u0435 \u043d\u0430\u0448\u0451\u043b, \u0430 \u0441\u043e\u0441\u0442\u0430\u0432 \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u043e\u0431\u0440\u0430\u043b \u0441\u0442\u0435\u043d\u0434, \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b \u0441\u0432\u043e\u044e 1\u0421 \u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e\u0434 \u043a\u0430\u0436\u0434\u0443\u044e \u0430\u0442\u0430\u043a\u0443.<\/p>\n<p>\u0412 \u0441\u0442\u0430\u0442\u044c\u0435:<\/p>\n<ul>\n<li>\n<p>\u0447\u0442\u043e 1\u0421 \u043f\u0438\u0448\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438, \u0430 \u0447\u0442\u043e \u043d\u0435\u0442;<\/p>\n<\/li>\n<li>\n<p>\u0433\u0434\u0435 \u043b\u0435\u0436\u0438\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0438 \u043a\u0430\u043a \u0437\u0430\u0431\u0440\u0430\u0442\u044c \u0435\u0433\u043e \u0432 SIEM;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0430\u0432\u0438\u043b\u0430: \u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f, \u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430, \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043e\u043a;<\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0447\u0435\u043c\u0443 \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0434\u0435\u0442\u0435\u043a\u0442 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u043c\u043e\u043b\u0447\u0430\u043b;<\/p>\n<\/li>\n<li>\n<p>\u0447\u0442\u043e \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u043d\u0435 \u043b\u043e\u0432\u0438\u0442\u0441\u044f.<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0431\u043e\u0440\u0449\u0438\u043a \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0432\u044b\u043b\u043e\u0436\u0438\u043b \u043d\u0430 <a href=\"https:\/\/github.com\/r00tAlchemist\/1c-threat-detection\" rel=\"noopener nofollow\">GitHub<\/a>: \u043c\u043e\u0436\u043d\u043e \u0431\u0440\u0430\u0442\u044c \u0438 \u0434\u043e\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0442\u044c \u043f\u043e\u0434 \u0441\u0435\u0431\u044f.<\/p>\n<h3>\u041a\u0430\u043a \u044d\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0432 \u0430\u0442\u0430\u043a\u0430\u0445<\/h3>\n<p>\u0412\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u2014 \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c 1\u0421: \u0444\u0430\u0439\u043b <code>.epf<\/code> \u0441 \u043a\u043e\u0434\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u00ab\u0424\u0430\u0439\u043b \u2192 \u041e\u0442\u043a\u0440\u044b\u0442\u044c\u00bb. \u041a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 1\u0421. \u041d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 8.3.9 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u043d\u043e \u0435\u0433\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442\u044c, \u0430 \u0432 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u0443 \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c. \u0423 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0435\u0441\u0442\u044c \u0432\u0441\u0435\u0433\u0434\u0430.<\/p>\n<p>\u0412 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445 \u044d\u0442\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f:<\/p>\n<ul>\n<li>\n<p>\u0432 <a href=\"https:\/\/habr.com\/ru\/companies\/solarsecurity\/articles\/1036814\/\" rel=\"noopener nofollow\">\u043a\u0435\u0439\u0441\u0435 Solar<\/a> \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u044b \u043f\u043e\u0434\u043e\u0431\u0440\u0430\u043b\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u0440\u043e\u043b\u0438, \u0441 \u043d\u0438\u043c\u0438 \u0432\u043e\u0448\u043b\u0438 \u0432 1\u0421, \u0447\u0435\u0440\u0435\u0437 \u0448\u0442\u0430\u0442\u043d\u0443\u044e \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0437\u0430\u043b\u0438\u043b\u0438 \u0432\u0435\u0431-\u0448\u0435\u043b\u043b \u0438 \u0432\u044b\u0448\u043b\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c;<\/p>\n<\/li>\n<li>\n<p>\u0432 <a href=\"https:\/\/codeby.net\/threads\/rassledovaniye-komprometatsii-1s-i-vymogatelya-cherez-gpo.96602\/\" rel=\"noopener nofollow\">\u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u043d\u0430 codeby<\/a> \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0442\u0430\u043a\u0430\u044f: \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f 1\u0421 \u2192 <code>.epf<\/code> \u2192 <code>rphost.exe<\/code> \u2192 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432 \u2192 GPO \u2192 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a.<\/p>\n<\/li>\n<\/ul>\n<p>\u0412 \u043e\u0431\u043e\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 1\u0421 \u2014 \u0442\u043e\u0447\u043a\u0430 \u0432\u0445\u043e\u0434\u0430, \u0430 \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0448\u0442\u0430\u0442\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b.<\/p>\n<h4>\u041f\u043e\u0447\u0435\u043c\u0443 \u044d\u0442\u043e \u0435\u0449\u0451 \u0438 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439<\/h4>\n<p>\u041a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 1\u0421. \u041a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u043b \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 (\u0432 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u0435 \u0447\u0435\u0440\u0435\u0437 \u0442\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442 \u2014 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u0442\u043e\u0436\u0435). \u0421\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0431\u0430\u0437\u044b \u0438\u043b\u0438 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421 \u0438\u043b\u0438 \u043f\u0443\u043b\u0430 IIS. \u0418 \u0432\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u043f\u0440\u0430\u0432\u0430 \u043e\u0431\u044b\u0447\u043d\u043e \u0432\u044b\u0448\u0435, \u0447\u0435\u043c \u043d\u0443\u0436\u043d\u043e:<\/p>\n<ul>\n<li>\n<p><strong>\u0441\u0435\u0440\u0432\u0435\u0440 1\u0421<\/strong> (<code>ragent<\/code>, <code>rphost<\/code>) \u0447\u0430\u0441\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u043f\u043e\u0434 LocalSystem \u0438\u043b\u0438 \u043f\u043e\u0434 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0432 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b, \u00ab\u0447\u0442\u043e\u0431\u044b \u0432\u0441\u0451 \u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e\u00bb. \u0422\u043e\u0433\u0434\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 SYSTEM \u0438\u043b\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421, \u0430 \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440, \u0433\u0434\u0435 \u043b\u0435\u0436\u0430\u0442 \u0432\u0441\u0435 \u0431\u0430\u0437\u044b \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438.<\/p>\n<\/li>\n<li>\n<p><strong>\u0434\u0430\u0436\u0435 \u043f\u043e\u0434 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u043e\u0439<\/strong> \u0443 \u0441\u043b\u0443\u0436\u0431\u044b \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044f <code>SeImpersonatePrivilege<\/code>, \u043a\u0430\u043a \u0438 \u0443 \u043f\u0443\u043b\u0430 IIS. \u042d\u0442\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0443\u0442\u044c \u0434\u043e SYSTEM \u0447\u0435\u0440\u0435\u0437 \u0430\u0442\u0430\u043a\u0438 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 Potato (T1134.001). \u041d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 <code>whoami \/priv<\/code> \u0438\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 <code>DefaultAppPool<\/code>, \u0438 <code>SeImpersonatePrivilege<\/code> \u0443 \u043d\u0435\u0433\u043e \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0430.<\/p>\n<\/li>\n<li>\n<p><strong>\u043f\u0440\u0430\u0432\u0430 \u0432 1\u0421 \u0438 \u043f\u0440\u0430\u0432\u0430 \u0432 Windows \u043d\u0438\u043a\u0430\u043a \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u044b.<\/strong> \u0411\u0443\u0445\u0433\u0430\u043b\u0442\u0435\u0440 \u0441 \u0440\u043e\u043b\u044c\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u0438\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u043d\u0435 \u0438\u043c\u0435\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e. \u041d\u043e \u0447\u0435\u0440\u0435\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043e\u043d \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0443\u0447\u0451\u0442\u043a\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421.<\/p>\n<\/li>\n<\/ul>\n<p>\u0420\u0430\u0437\u043d\u0438\u0446\u0443 \u0432\u0438\u0434\u043d\u043e \u043d\u0430 \u043e\u0434\u043d\u043e\u0439 \u0438 \u0442\u043e\u0439 \u0436\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435. \u0427\u0435\u0440\u0435\u0437 \u0442\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442 <code>whoami \/priv<\/code> \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u044f\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0427\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0442\u0430 \u0436\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u0436\u0435 \u0434\u0435\u0441\u044f\u0442\u044c, \u0441\u0440\u0435\u0434\u0438 \u043d\u0438\u0445 <code>SeImpersonatePrivilege<\/code> \u0438 <code>SeAssignPrimaryTokenPrivilege<\/code>: \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 IIS.<\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/dc\/15\/66\/dc1566567d611534c56d8dc13437c1f3.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/dc\/15\/66\/dc1566567d611534c56d8dc13437c1f3.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/dc\/15\/66\/dc1566567d611534c56d8dc13437c1f3.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0422\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442: \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, 5 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439<\/em> <\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/3a\/4b\/b3\/3a4bb3d2274774575f6d0783bfe5faca.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/3a\/4b\/b3\/3a4bb3d2274774575f6d0783bfe5faca.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/3a\/4b\/b3\/3a4bb3d2274774575f6d0783bfe5faca.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0412\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442: \u0442\u0430 \u0436\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430, \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 IIS, 10 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, <\/em><code><em>SeImpersonatePrivilege<\/em><\/code><em> \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0430<\/em> <\/p>\n<p>\u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0438\u0437 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 codeby \u043c\u0435\u0436\u0434\u0443 <code>rphost.exe<\/code> \u0438 GPO \u0441\u0442\u043e\u0438\u0442 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432: 1\u0421 \u0434\u0430\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u0430 \u0434\u0430\u043b\u044c\u0448\u0435 \u0434\u043e \u0434\u043e\u043c\u0435\u043d\u0430 \u043d\u0435\u0434\u0430\u043b\u0435\u043a\u043e.<\/p>\n<h3>\u0421\u0442\u0435\u043d\u0434<\/h3>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041c\u0430\u0448\u0438\u043d\u0430<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u0442\u0430\u043c<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WS01<\/p>\n<\/td>\n<td>\n<p align=\"left\">Windows 11 (build 26300, 1\u0421 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043a\u0430\u043a Windows 10), 1\u0421:\u041f\u0440\u0435\u0434\u043f\u0440\u0438\u044f\u0442\u0438\u0435 8.3.16 (\u0443\u0447\u0435\u0431\u043d\u0430\u044f), \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0431\u0430\u0437\u0430, \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0432 IIS, \u0430\u0433\u0435\u043d\u0442 Wazuh<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">siem<\/p>\n<\/td>\n<td>\n<p align=\"left\">Ubuntu 22.04, Wazuh 4.12 (\u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440 + \u0438\u043d\u0434\u0435\u043a\u0441\u0430\u0442\u043e\u0440)<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0435\u043d\u0434\u0430 \u0441\u0440\u0430\u0437\u0443: \u0431\u0430\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f, \u0443\u0447\u0435\u0431\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 8.3.16, \u0431\u0435\u0437 \u0411\u0421\u041f. \u0412\u0441\u0451, \u0447\u0442\u043e \u043d\u0438\u0436\u0435 \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430, \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043e \u043d\u0430 \u044d\u0442\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043d\u0435 \u0441\u0430\u043c\u0430\u044f \u0441\u0432\u0435\u0436\u0430\u044f, \u0438 \u043d\u0430 8.3.2x \u0438 \u0441 \u0442\u0438\u043f\u043e\u0432\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 \u0447\u0430\u0441\u0442\u044c \u0434\u0435\u0442\u0430\u043b\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u043b\u0438\u0447\u0430\u0442\u044c\u0441\u044f \u2014 \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u043a\u043e\u043d\u0446\u0435. \u0415\u0441\u043b\u0438 \u0443 \u0432\u0430\u0441 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u0438 \u043d\u0430\u043f\u0438\u0448\u0438\u0442\u0435 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u0445: \u0434\u043e\u043f\u043e\u043b\u043d\u044e.<\/p>\n<h3>\u041c\u043e\u0434\u0435\u043b\u044c \u0443\u0433\u0440\u043e\u0437<\/h3>\n<p>\u0427\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0441 1\u0421 \u0438 \u0447\u0435\u043c \u044d\u0442\u043e \u0432\u0438\u0434\u043d\u043e:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0410\u0442\u0430\u043a\u0430<\/p>\n<\/th>\n<th>\n<p align=\"left\">MITRE ATT&amp;CK<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0413\u0434\u0435 \u0441\u043b\u0435\u0434<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041f\u0440\u0430\u0432\u0438\u043b\u043e<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f \u043a \u0431\u0430\u0437\u0435<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1110.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_bruteforce.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0412\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1110, T1078<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_login_after_bruteforce.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0430\u0437\u044b<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1136<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_user_created.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0430\u0437\u044b<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1531<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_user_deleted.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 (\u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0430)<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1505<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_config_update.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1059<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0442\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f Windows<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1c_shell_spawn.yml<\/code> \u0438 \u0435\u0449\u0451 \u0434\u0432\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432 \u0447\u0435\u0440\u0435\u0437 \u0443\u0447\u0451\u0442\u043a\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421<\/p>\n<\/td>\n<td>\n<p align=\"left\">T1134.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u043e\u0431\u044b\u0442\u0438\u044f Windows<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u0435\u0440\u0432\u044b\u0439 \u0448\u0430\u0433 \u2014 <code>1c_shell_spawn.yml<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0416\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0438 \u043a\u0430\u043a \u0435\u0433\u043e \u0437\u0430\u0431\u0440\u0430\u0442\u044c<\/h3>\n<p>\u0423 1\u0421 \u0434\u0432\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430. <strong>\u0422\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0439<\/strong> \u2014 \u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u044b\u0439: \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e (<code>logcfg.xml<\/code>), \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0439 \u0438 \u0434\u043b\u044f \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u0433\u043e \u0441\u0431\u043e\u0440\u0430 \u043d\u0435 \u0433\u043e\u0434\u0438\u0442\u0441\u044f. <strong>\u0416\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/strong> \u043f\u0438\u0448\u0435\u0442\u0441\u044f \u0432\u0441\u0435\u0433\u0434\u0430: \u0432\u0445\u043e\u0434\u044b, \u043e\u0448\u0438\u0431\u043a\u0438 \u0432\u0445\u043e\u0434\u0430, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u0415\u0433\u043e \u0438 \u0431\u0435\u0440\u0451\u043c.<\/p>\n<p>\u041e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0433\u0435\u043d\u0442 SIEM \u043c\u043e\u0433 \u0431\u044b \u0447\u0438\u0442\u0430\u0442\u044c \u043f\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e, 1\u0421 \u043d\u0435 \u0434\u0430\u0451\u0442. \u0416\u0443\u0440\u043d\u0430\u043b \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0441\u0432\u043e\u0451\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435: \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0441\u0441\u044b\u043b\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a \u043f\u043e \u043d\u043e\u043c\u0435\u0440\u0430\u043c, \u0430 \u043e\u0434\u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u044c \u0440\u0430\u0441\u0442\u044f\u043d\u0443\u0442\u0430 \u043d\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0440\u043e\u043a \u0441\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u0441\u043a\u043e\u0431\u043a\u0430\u043c\u0438. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u0435\u0436\u0434\u0443 1\u0421 \u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u043c \u043d\u0443\u0436\u0435\u043d \u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0432 JSON.<\/p>\n<p>\u0416\u0443\u0440\u043d\u0430\u043b \u043b\u0435\u0436\u0438\u0442 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 <code>1Cv8Log<\/code>:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0411\u0430\u0437\u0430<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0413\u0434\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0424\u0430\u0439\u043b\u043e\u0432\u0430\u044f<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>&lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u0430\u0437\u044b&gt;\\1Cv8Log<\/code> (\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0432\u0438\u0434\u0435\u043d \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0431\u0430\u0437 \u043e\u043a\u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>&lt;srvinfo&gt;\\reg_1541\\&lt;GUID \u0431\u0430\u0437\u044b&gt;\\1Cv8Log<\/code>, \u043e\u0431\u044b\u0447\u043d\u043e <code>C:\\Program Files\\1cv8\\srvinfo\\...<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0427\u0442\u043e \u0432 \u043d\u0451\u043c:<\/p>\n<ul>\n<li>\n<p><code>1Cv8.lgf<\/code> \u2014 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a: \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438, \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u044b, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u0442\u0438\u043f\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0441\u0432\u043e\u0439 \u043d\u043e\u043c\u0435\u0440. \u0414\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e \u0445\u043e\u0434\u0443: \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a \u043f\u0440\u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0438 \u0441 \u043d\u0438\u043c;<\/p>\n<\/li>\n<li>\n<p><code>*.lgp<\/code> \u2014 \u0441\u0430\u043c\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u044f. \u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u2014 \u0434\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u0435\u0433\u043e \u043d\u0430\u0447\u0430\u043b\u0430 (<code>20261026000000.lgp<\/code>), \u043d\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0437\u0430\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e \u043f\u0435\u0440\u0438\u043e\u0434\u0443 \u0438\u0437 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u0436\u0443\u0440\u043d\u0430\u043b\u0430. \u0412\u043c\u0435\u0441\u0442\u043e \u0438\u043c\u0451\u043d \u0432 \u0437\u0430\u043f\u0438\u0441\u044f\u0445 \u0441\u0442\u043e\u044f\u0442 \u043d\u043e\u043c\u0435\u0440\u0430 \u0438\u0437 <code>.lgf<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>1Cv8.lgd<\/code> \u2014 \u0434\u0440\u0443\u0433\u043e\u0439 \u0444\u043e\u0440\u043c\u0430\u0442, \u0432\u0441\u0451 \u0432 \u043e\u0434\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 SQLite. \u0412\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e, \u043c\u043e\u0439 \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u0435\u0433\u043e \u043f\u043e\u043a\u0430 \u043d\u0435 \u0447\u0438\u0442\u0430\u0435\u0442.<\/p>\n<\/li>\n<\/ul>\n<p>\u0417\u0430\u043f\u0438\u0441\u044c \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a <code>{4,\"_$Session$_.AuthenticationError\",10}<\/code>: \u0442\u0438\u043f (4 \u2014 \u0441\u043e\u0431\u044b\u0442\u0438\u0435), \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0438 \u043d\u043e\u043c\u0435\u0440, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0441\u044b\u043b\u0430\u044e\u0442\u0441\u044f \u0437\u0430\u043f\u0438\u0441\u0438 <code>.lgp<\/code>.<\/p>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u043f\u043e <strong>ASCII-\u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0439<\/strong>: <code>_$Session$_.Authentication<\/code>, <code>_$Session$_.AuthenticationError<\/code>, <code>_$User$_.New<\/code>, <code>_$InfoBase$_.ConfigUpdate<\/code>. \u0412 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 1\u0421 \u0438\u0445 \u043d\u0435 \u0432\u0438\u0434\u043d\u043e, \u0442\u0430\u043c \u00ab\u0421\u0435\u0430\u043d\u0441. \u041e\u0448\u0438\u0431\u043a\u0430 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438\u00bb.<\/p>\n<p>\u0421\u0431\u043e\u0440\u0449\u0438\u043a <code>onec_shipper.py<\/code> \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441\u043b\u0443\u0436\u0431\u043e\u0439 Windows: \u0447\u0438\u0442\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 <code>.lgp<\/code>, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u043c\u0435\u043d\u0430 \u0438\u0437 <code>.lgf<\/code> \u0438 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0432 <code>C:\\ProgramData\\1c-eventlog\\events.json<\/code>, \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 JSON \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443. \u041f\u043e\u0437\u0438\u0446\u0438\u044e \u0447\u0442\u0435\u043d\u0438\u044f \u043e\u043d \u0445\u0440\u0430\u043d\u0438\u0442 \u0432 <code>checkpoint.json<\/code> \u0438 \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u0442 \u0441 \u0442\u043e\u0433\u043e \u0436\u0435 \u043c\u0435\u0441\u0442\u0430. \u0424\u0430\u0439\u043b \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u0430\u0433\u0435\u043d\u0442 SIEM, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0443 \u0432\u0430\u0441 \u0443\u0436\u0435 \u0441\u0442\u043e\u0438\u0442, \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 JSON; \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u043d\u0435 \u043d\u0443\u0436\u043d\u044b. \u0421\u0442\u0430\u0432\u0438\u0442\u0441\u044f \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u043e\u0434\u043d\u0438\u043c \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c <code>install.ps1<\/code>, \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u2014 \u0432 README \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f.<\/p>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435:<\/p>\n<pre><code class=\"json\">{\"integration\":\"1c\",\"ib\":\"demo\",\"ts\":\"2026-11-05T17:05:35\",\"ev\":{\"id\":\"_$Session$_.AuthenticationError\",\"level\":\"information\",\"data\":\"WS01\\\\WC01\"},\"user\":{\"name\":\"\"},\"computer\":\"WS01\",\"app\":\"1CV8\",\"session\":2,\"comment\":\"\"}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0447\u0435\u043c\u0443 \u043f\u043e\u043b\u0435 <code>ev<\/code>, \u0430 \u043d\u0435 <code>event<\/code>: \u0438\u043c\u044f <code>event<\/code> \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0443\u0436\u0435 \u0437\u0430\u043d\u044f\u0442\u043e \u0432 \u0441\u0445\u0435\u043c\u0435 \u0432\u0430\u0448\u0435\u0439 SIEM. \u0412 Wazuh, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <code>data.event<\/code> \u0432 \u0448\u0430\u0431\u043b\u043e\u043d\u0435 \u0438\u043d\u0434\u0435\u043a\u0441\u0430 \u2014 \u0441\u0442\u0440\u043e\u043a\u0430, \u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0441 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u043b\u0435 \u043d\u0435 \u043f\u0440\u043e\u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u0443\u0435\u0442\u0441\u044f. \u0423\u0447\u0442\u0438\u0442\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u043e\u043b\u0435\u0439.<\/p>\n<h3>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0443 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438<\/h3>\n<p>\u0412\u0441\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0435\u0441\u0442\u044c \u0432 \u0434\u0432\u0443\u0445 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430\u0445: Sigma, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e SIEM, \u0438 \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 Wazuh, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441\u0442\u0435\u043d\u0434. \u0412 \u0442\u0435\u043a\u0441\u0442\u0435 \u2014 \u043b\u043e\u0433\u0438\u043a\u0430, \u0441\u0430\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u2014 \u043f\u043e\u0434 \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438.<\/p>\n<h4>\u041f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f<\/h4>\n<p>\u041b\u043e\u0433\u0438\u043a\u0430 \u0432 \u0442\u0440\u0438 \u0448\u0430\u0433\u0430:<\/p>\n<ul>\n<li>\n<p><strong>\u043e\u0448\u0438\u0431\u043a\u0430 \u0432\u0445\u043e\u0434\u0430<\/strong> \u2014 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <code>_$Session$_.AuthenticationError<\/code>, \u0441\u0430\u043c\u043e \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0438\u0437\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c;<\/p>\n<\/li>\n<li>\n<p><strong>\u043f\u043e\u0434\u0431\u043e\u0440<\/strong> \u2014 \u043f\u044f\u0442\u044c \u043e\u0448\u0438\u0431\u043e\u043a \u0437\u0430 60 \u0441\u0435\u043a\u0443\u043d\u0434 \u0432 \u043e\u0434\u043d\u043e\u0439 \u0431\u0430\u0437\u0435;<\/p>\n<\/li>\n<li>\n<p><strong>\u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430<\/strong> \u2014 \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0439 <code>_$Session$_.Authentication<\/code> \u0432 \u0442\u0443 \u0436\u0435 \u0431\u0430\u0437\u0443 \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0432\u0443\u0445 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430, \u0443\u0440\u043e\u0432\u0435\u043d\u044c critical.<\/p>\n<\/li>\n<\/ul>\n<p>\u0418 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u043f\u0440\u0438\u044f\u0442\u043d\u0430\u044f \u043d\u0430\u0445\u043e\u0434\u043a\u0430. <strong>\u041d\u0430 \u043c\u043e\u0451\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0432 1\u0421 \u043f\u0438\u0448\u0435\u0442 <\/strong><code><strong>AuthenticationError<\/strong><\/code><strong>.<\/strong> \u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e \u041e\u0421, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043e\u0442\u043a\u0430\u0437, \u043f\u0438\u0448\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0442\u043e\u043c \u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e \u043f\u0430\u0440\u043e\u043b\u044e. \u0417\u0430\u043f\u0438\u0441\u044c \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a \u0436\u0435, \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044c \u043f\u0440\u0438 \u043d\u0435\u0432\u0435\u0440\u043d\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u0435.<\/p>\n<p>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 \u043d\u0435\u0439 \u043f\u0443\u0441\u0442\u043e\u0439, \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0443\u0447\u0451\u0442\u043a\u0430 Windows, \u043f\u043e\u0434 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u043a\u043b\u0438\u0435\u043d\u0442 (<code>WS01\\WC01<\/code>). \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0448\u0438\u0431\u043a\u0438 \u043f\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e 1\u0421 \u043d\u0435\u043b\u044c\u0437\u044f \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e \u0431\u0430\u0437\u0435. \u0423\u0447\u0451\u0442\u043a\u0443 Windows \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0432 <code>ev.data<\/code>, \u043d\u043e \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0442\u0430\u043c \u0443 \u0432\u0441\u0435\u0445 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 <code>NT AUTHORITY\\IUSR<\/code>, \u0442\u0430\u043a \u0447\u0442\u043e \u0438 \u043e\u043d\u0430 \u043d\u0435 \u0441\u043f\u0430\u0441\u0430\u0435\u0442.<\/p>\n<p>\u042f \u0441\u0440\u0430\u0432\u043d\u0438\u043b \u0437\u0430\u043f\u0438\u0441\u0438 \u0446\u0435\u043b\u0438\u043a\u043e\u043c: \u043f\u0440\u0438 \u043d\u0435\u0432\u0435\u0440\u043d\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u0435 \u0438 \u043f\u0440\u0438 \u043e\u0431\u044b\u0447\u043d\u043e\u043c \u0432\u0445\u043e\u0434\u0435 \u043e\u043d\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e, \u043a\u0440\u043e\u043c\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438 \u043d\u043e\u043c\u0435\u0440\u0430 \u0441\u0435\u0430\u043d\u0441\u0430. \u041e\u0442\u043b\u0438\u0447\u0430\u0435\u0442 \u0438\u0445 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0447\u0442\u043e \u0438\u0434\u0451\u0442 \u0441\u043b\u0435\u0434\u043e\u043c: \u043f\u0440\u0438 \u043e\u0431\u044b\u0447\u043d\u043e\u043c \u0432\u0445\u043e\u0434\u0435 \u0447\u0435\u0440\u0435\u0437 \u0441\u0435\u043a\u0443\u043d\u0434\u0443 \u0432 \u0442\u043e\u043c \u0436\u0435 \u0441\u0435\u0430\u043d\u0441\u0435 \u0437\u0430\u043f\u0438\u0441\u0430\u043d \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0439 \u0432\u0445\u043e\u0434. \u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 SIEM \u0443\u043c\u0435\u0435\u0442 \u0442\u0430\u043a\u0438\u0435 \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438, \u043e\u0434\u0438\u043d\u043e\u0447\u043d\u0443\u044e \u043e\u0448\u0438\u0431\u043a\u0443 \u0441 \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u043c \u0432\u0445\u043e\u0434\u043e\u043c \u0432 \u0442\u043e\u043c \u0436\u0435 \u0441\u0435\u0430\u043d\u0441\u0435 \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c \u043a\u0430\u043a \u0448\u0443\u043c.<\/p>\n<p>\u0412\u044b\u0445\u043e\u0434\u0438\u0442, \u043e\u0434\u043d\u0430 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432\u0445\u043e\u0434\u0430 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442. \u0410 \u0443\u0442\u0440\u043e\u043c, \u043a\u043e\u0433\u0434\u0430 \u043f\u044f\u0442\u044c \u0447\u0435\u043b\u043e\u0432\u0435\u043a \u0437\u0430 \u043c\u0438\u043d\u0443\u0442\u0443 \u0432\u0445\u043e\u0434\u044f\u0442 \u0432 \u043e\u0434\u043d\u0443 \u0431\u0430\u0437\u0443, \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u044f \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0430 \u0437\u0430 \u043d\u0435\u0439 \u0438 \u00ab\u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430\u00bb. \u041f\u043e\u0440\u043e\u0433 \u043d\u0430\u0434\u043e \u043f\u043e\u0434\u0431\u0438\u0440\u0430\u0442\u044c \u043f\u043e\u0434 \u0441\u0432\u043e\u044e \u0431\u0430\u0437\u0443: \u043d\u0430 \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u043e\u0439 \u0431\u0443\u0445\u0433\u0430\u043b\u0442\u0435\u0440\u0438\u0438 \u043f\u044f\u0442\u044c \u0437\u0430 \u043c\u0438\u043d\u0443\u0442\u0443 \u2014 \u0440\u0435\u0434\u043a\u043e\u0441\u0442\u044c, \u043d\u0430 \u0431\u0430\u0437\u0435 \u0441 \u0441\u043e\u0442\u043d\u0435\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u2014 \u043d\u0435\u0442.<\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/57\/30\/c0\/5730c0338b670eab02d2b7a0ec5774d6.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/57\/30\/c0\/5730c0338b670eab02d2b7a0ec5774d6.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/57\/30\/c0\/5730c0338b670eab02d2b7a0ec5774d6.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u041f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f \u0438 \u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430. \u041f\u044f\u0442\u0430\u044f \u043e\u0448\u0438\u0431\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u043a\u0430\u043a \u00ab\u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f\u00bb: \u0432 Wazuh \u043e\u0434\u043d\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0434\u0430\u0451\u0442 \u043e\u0434\u0438\u043d \u0430\u043b\u0435\u0440\u0442, \u043f\u043e \u0441\u0430\u043c\u043e\u043c\u0443 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c\u0443 \u043f\u0440\u0430\u0432\u0438\u043b\u0443<\/em> <\/p>\n<details class=\"spoiler\">\n<summary>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e\u0434\u0431\u043e\u0440\u0430 \u043f\u0430\u0440\u043e\u043b\u044f \u0434\u043b\u044f Wazuh<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"xml\">&lt;rule id=\"100101\" level=\"5\"&gt;  &lt;if_sid&gt;100100&lt;\/if_sid&gt;  &lt;field name=\"ev.id\" type=\"pcre2\"&gt;^_\\$Session\\$_\\.AuthenticationError$&lt;\/field&gt;  &lt;description&gt;1\u0421: \u043d\u0435\u0443\u0434\u0430\u0447\u043d\u044b\u0439 \u0432\u0445\u043e\u0434&lt;\/description&gt;  &lt;mitre&gt;&lt;id&gt;T1110&lt;\/id&gt;&lt;\/mitre&gt;&lt;\/rule&gt;&lt;rule id=\"100102\" level=\"10\" frequency=\"5\" timeframe=\"60\"&gt;  &lt;if_matched_sid&gt;100101&lt;\/if_matched_sid&gt;  &lt;same_field&gt;ib&lt;\/same_field&gt;  &lt;description&gt;1\u0421: \u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f - 5 \u043d\u0435\u0443\u0434\u0430\u0447\u043d\u044b\u0445 \u0432\u0445\u043e\u0434\u043e\u0432 \u0437\u0430 60 \u0441&lt;\/description&gt;  &lt;mitre&gt;&lt;id&gt;T1110.001&lt;\/id&gt;&lt;\/mitre&gt;&lt;\/rule&gt;<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u044b, \u043f\u043e\u043b\u043d\u044b\u0435 \u2014 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438.<\/p>\n<\/div>\n<\/details>\n<h4>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f<\/h4>\n<p>\u0422\u0440\u0438 \u043f\u0440\u043e\u0441\u0442\u044b\u0445 \u043f\u0440\u0430\u0432\u0438\u043b\u0430, \u043f\u043e ID \u0441\u043e\u0431\u044b\u0442\u0438\u044f:<\/p>\n<ul>\n<li>\n<p><code>_$User$_.New<\/code> \u2014 \u0441\u043e\u0437\u0434\u0430\u043d \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0431\u0430\u0437\u044b (T1136). \u0422\u0430\u043a \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u0432\u043e\u0434\u0438\u0442 \u0443\u0447\u0451\u0442\u043a\u0443, \u0447\u0442\u043e\u0431\u044b \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u0442\u044c\u0441\u044f;<\/p>\n<\/li>\n<li>\n<p><code>_$User$_.Delete<\/code> \u2014 \u0443\u0434\u0430\u043b\u0451\u043d \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c (T1531). \u0422\u0430\u043a \u043e\u0442\u0431\u0438\u0440\u0430\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u0443 \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u0438\u043b\u0438 \u0437\u0430\u043c\u0435\u0442\u0430\u044e\u0442 \u0441\u043b\u0435\u0434\u044b;<\/p>\n<\/li>\n<li>\n<p><code>_$InfoBase$_.ConfigUpdate<\/code> \u2014 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f (T1505). \u0422\u0430\u043a \u0441\u0442\u0430\u0432\u044f\u0442 \u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0443 \u043f\u0440\u044f\u043c\u043e \u0432 \u043a\u043e\u0434 \u0431\u0430\u0437\u044b.<\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u0437\u0430\u043f\u0438\u0441\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0435\u0441\u0442\u044c, \u043d\u043e \u043d\u0435 \u0432 \u00ab\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445\u00bb, \u0430 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0430\u043c\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0421\u0431\u043e\u0440\u0449\u0438\u043a \u0434\u043e\u0441\u0442\u0430\u0451\u0442 \u0435\u0433\u043e \u043e\u0442\u0442\u0443\u0434\u0430, \u0438 \u0432 \u0430\u043b\u0435\u0440\u0442\u0435 \u0432\u0438\u0434\u043d\u043e, \u043a\u043e\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u043b\u0438 \u0438\u043b\u0438 \u0443\u0434\u0430\u043b\u0438\u043b\u0438.<\/p>\n<p>\u0410 \u0432\u043e\u0442 \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u043c\u0435\u043d\u044f\u043b\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u043d\u0435 \u0445\u0440\u0430\u043d\u0438\u0442: \u0432 \u0437\u0430\u043f\u0438\u0441\u0438 <code>ConfigUpdate<\/code> \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u0430\u043a\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0438 \u043a\u0442\u043e \u0435\u0433\u043e \u0441\u0434\u0435\u043b\u0430\u043b. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u2014 \u0447\u0435\u0440\u0435\u0437 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439 \u0438\u043b\u0438 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438.<\/p>\n<p>\u041b\u043e\u0436\u043d\u044b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u2014 \u043f\u043b\u0430\u043d\u043e\u0432\u0430\u044f \u0440\u0430\u0431\u043e\u0442\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 1\u0421, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0438\u0445 \u0441\u0442\u043e\u0438\u0442 \u0441\u0432\u0435\u0440\u044f\u0442\u044c \u0441 \u0437\u0430\u044f\u0432\u043a\u0430\u043c\u0438.<\/p>\n<details class=\"spoiler\">\n<summary>\u041a\u0430\u043a \u044d\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0432 SIEM<\/summary>\n<div class=\"spoiler__content\">\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/5e\/58\/13\/5e5813835e1ba92a889dac7094362c4a.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/5e\/58\/13\/5e5813835e1ba92a889dac7094362c4a.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/5e\/58\/13\/5e5813835e1ba92a889dac7094362c4a.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432\u0438\u0434\u043d\u044b \u0441 \u0438\u043c\u0435\u043d\u0435\u043c, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u043a \u0444\u0430\u043a\u0442<\/em> <\/p>\n<\/div>\n<\/details>\n<h3>\u0412\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438: \u0436\u0443\u0440\u043d\u0430\u043b \u043c\u043e\u043b\u0447\u0438\u0442<\/h3>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0433\u043b\u0430\u0432\u043d\u043e\u0435. \u042f \u043e\u0442\u043a\u0440\u044b\u043b \u0441\u0432\u043e\u044e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u0432 \u00ab\u041f\u0440\u0435\u0434\u043f\u0440\u0438\u044f\u0442\u0438\u0438\u00bb \u0438 \u0432 \u00ab\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0442\u043e\u0440\u0435\u00bb \u0438 \u0441\u0442\u0430\u043b \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u044f\u0432\u0438\u043b\u043e\u0441\u044c \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438.<\/p>\n<p><strong>\u041d\u0438\u0447\u0435\u0433\u043e.<\/strong> \u041d\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0432 <code>.lgf<\/code>, \u043d\u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 <code>.lgp<\/code>. \u041e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043d\u0430 \u043c\u043e\u0451\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u043d\u0435 \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u0442 \u0432\u043e\u043e\u0431\u0449\u0435. \u0412\u0438\u0434\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0440\u0430\u043d\u0437\u0430\u043a\u0446\u0438\u0438. \u0427\u0442\u043e \u043f\u0438\u0448\u0435\u0442 \u0432 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0442\u0438\u043f\u043e\u0432\u0430\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f \u0441 \u0411\u0421\u041f, \u044f \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b.<\/p>\n<p>\u041e\u0434\u043d\u0430 \u0437\u0430\u0446\u0435\u043f\u043a\u0430 \u0432\u0441\u0451 \u0436\u0435 \u0435\u0441\u0442\u044c: \u0435\u0441\u043b\u0438 \u0432 \u043a\u043e\u0434\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043e\u0448\u0438\u0431\u043a\u0430, \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 <code>_$PerformError$_<\/code> \u0441 \u0438\u043c\u0435\u043d\u0435\u043c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 (<code>{\u0412\u043d\u0435\u0448\u043d\u044f\u044f\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430.\u0420\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u044f\u0412\u043d\u0435\u0448\u043d\u0435\u0439\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438.\u0424\u043e\u0440\u043c\u0430...}<\/code>). \u041d\u0430 \u0442\u0430\u043a\u0438\u0435 \u043e\u0448\u0438\u0431\u043a\u0438 \u0441\u043e\u0432\u0435\u0442\u0443\u044e\u0442 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0438 Kaspersky, \u0438 codeby. \u041d\u043e \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0442\u044c \u043d\u0430 \u043e\u0448\u0438\u0431\u043a\u0443 \u0432 \u043a\u043e\u0434\u0435 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u2014 \u043d\u0435 \u0441\u0442\u0440\u0430\u0442\u0435\u0433\u0438\u044f.<\/p>\n<p>\u0417\u043d\u0430\u0447\u0438\u0442, \u043b\u043e\u0432\u0438\u0442\u044c \u043d\u0430\u0434\u043e \u0442\u043e, \u0447\u0442\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0434\u0435\u043b\u0430\u0435\u0442. \u0427\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u043e\u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441.<\/p>\n<h4>\u0422\u0440\u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0438\u0437 1\u0421<\/h4>\n<p>\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430-\u043a\u043e\u043d\u0441\u043e\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b, \u0443\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430: <code>\u041d\u043e\u0432\u044b\u0439 COM\u041e\u0431\u044a\u0435\u043a\u0442(\"WScript.Shell\")<\/code>, <code>\u041d\u043e\u0432\u044b\u0439 COM\u041e\u0431\u044a\u0435\u043a\u0442(\"Shell.Application\")<\/code> \u0438 \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u0430\u044f <code>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435()<\/code>. \u042f \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b <code>whoami<\/code> \u0432\u0441\u0435\u043c\u0438 \u0442\u0440\u0435\u043c\u044f \u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u043b \u043d\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 Windows (Security 4688):<\/p>\n<pre><code>17:33:59  1cv8t.exe -&gt; cmd.exe   cmd.exe \/C \"whoami\"17:34:04  cmd.exe   -&gt; whoami.exe17:34:10  1cv8t.exe -&gt; cmd.exe   \"C:\\Windows\\System32\\cmd.exe\" \/C \"whoami &gt; ...\\Temp\\res.txt\"17:34:22  1cv8t.exe -&gt; cmd.exe   cmd.exe \/c \"whoami &gt; ...\\Temp\\res.txt\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0414\u043b\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b <strong>\u0432\u0441\u0435 \u0442\u0440\u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e<\/strong>: COM-\u043e\u0431\u044a\u0435\u043a\u0442\u044b \u0441\u043e\u0437\u0434\u0430\u044e\u0442\u0441\u044f \u0432\u043d\u0443\u0442\u0440\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 1\u0421, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c <code>cmd.exe<\/code> \u2014 \u0442\u043e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 1\u0421, \u0433\u0434\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0441\u044f \u043a\u043e\u0434. \u0412 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u044d\u0442\u043e \u0441\u0430\u043c \u043a\u043b\u0438\u0435\u043d\u0442. \u0412 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0431\u0430\u0437\u0435 \u043a\u043e\u0434 <code>&amp;\u041d\u0430\u041a\u043b\u0438\u0435\u043d\u0442\u0435<\/code> \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0430 <code>&amp;\u041d\u0430\u0421\u0435\u0440\u0432\u0435\u0440\u0435<\/code> \u2014 \u0432 <code>rphost<\/code> \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421. \u0420\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0430 \u0438\u0445 \u043f\u0438\u0448\u0435\u0442 \u0430\u0432\u0442\u043e\u0440 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u0438 \u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043d\u0438\u0445 \u043d\u0435\u043b\u044c\u0437\u044f.<\/p>\n<p>\u041e\u0442\u0441\u044e\u0434\u0430 \u043b\u043e\u0433\u0438\u043a\u0430 \u0434\u0435\u0442\u0435\u043a\u0442\u0430: <strong>\u043f\u0440\u043e\u0446\u0435\u0441\u0441 1\u0421 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0430\u0442\u043e\u0440 \u0438\u043b\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443.<\/strong> \u041a\u043b\u0438\u0435\u043d\u0442\u0443 \u0431\u0443\u0445\u0433\u0430\u043b\u0442\u0435\u0440\u0438\u0438 \u043d\u0435\u0437\u0430\u0447\u0435\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c <code>cmd<\/code>, <code>powershell<\/code> \u0438\u043b\u0438 <code>certutil<\/code>. \u0422\u0430 \u0436\u0435 \u0438\u0434\u0435\u044f \u0435\u0441\u0442\u044c \u0432 Sigma-\u043f\u0440\u0430\u0432\u0438\u043b\u0435 \u043d\u0430 codeby, \u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f <code>rphost<\/code>; \u0437\u0434\u0435\u0441\u044c \u043e\u043d\u0430 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0430 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 1\u0421 \u0438 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044e \u0438 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0430 \u0441\u0432\u044f\u0437\u043a\u043e\u0439 \u0441 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438.<\/p>\n<p>\u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0443\u0436\u0435\u043d \u0430\u0443\u0434\u0438\u0442 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0441 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 (Security 4688). \u0415\u0441\u043b\u0438 \u0441\u0442\u043e\u0438\u0442 Sysmon, \u0442\u043e \u0436\u0435 \u0432\u0438\u0434\u043d\u043e \u0432 Event ID 1, \u0441\u0440\u0430\u0437\u0443 \u0441 <code>ParentCommandLine<\/code> \u0438 \u0445\u044d\u0448\u0430\u043c\u0438.<\/p>\n<details class=\"spoiler\">\n<summary>\u041a\u0430\u043a \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0430\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0441 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"powershell\">auditpol \/set \/subcategory:\"{0CCE922B-69AE-11D9-BED3-505054503030}\" \/success:enablereg add HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\Audit \/v ProcessCreationIncludeCmdLine_Enabled \/t REG_DWORD \/d 1 \/f<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>GUID \u0432\u043c\u0435\u0441\u0442\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u0434\u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u2014 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043d\u0430 \u0440\u0443\u0441\u0441\u043a\u043e\u0439 Windows \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0434\u0440\u0443\u0433\u0438\u0435 \u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0441 \u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u0438\u043c \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. Sigma-\u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u0432 \u0442\u0435\u0440\u043c\u0438\u043d\u0430\u0445 Sysmon; \u0434\u043b\u044f 4688 \u043d\u0443\u0436\u0435\u043d pipeline, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442 \u043f\u043e\u043b\u044f <code>NewProcessName<\/code>\/<code>ParentProcessName<\/code> \u0432 <code>Image<\/code>\/<code>ParentImage<\/code>.<\/p>\n<\/div>\n<\/details>\n<h4>\u041f\u0440\u0430\u0432\u0438\u043b\u043e 1: 1\u0421 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0430 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0443<\/h4>\n<p>\u042d\u0442\u043e \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0441\u0442\u0430\u0442\u044c\u0438, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043a\u0430\u0436\u0443 \u0435\u0433\u043e \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u0432 Sigma (\u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u043e\u043f\u0443\u0449\u0435\u043d\u044b):<\/p>\n<pre><code class=\"yaml\">logsource:    category: process_creation    product: windowsdetection:    selection_parent:        ParentImage|endswith:            - '\\1cv8.exe'     # \u0442\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442            - '\\1cv8c.exe'    # \u0442\u043e\u043d\u043a\u0438\u0439 \u043a\u043b\u0438\u0435\u043d\u0442            - '\\1cv8t.exe'    # \u0443\u0447\u0435\u0431\u043d\u044b\u0435 \u0432\u0435\u0440\u0441\u0438\u0438            - '\\1cv8ct.exe'            - '\\rphost.exe'   # \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421            - '\\w3wp.exe'     # \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0432 IIS, \u043f\u0440\u043e \u043d\u0435\u0451 \u043d\u0438\u0436\u0435    selection_child:        Image|endswith:            - '\\cmd.exe'            - '\\powershell.exe'            - '\\pwsh.exe'            - '\\mshta.exe'            - '\\certutil.exe'            - '\\whoami.exe'            # ... \u0432\u0441\u0435\u0433\u043e 15 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0438 \u0443\u0442\u0438\u043b\u0438\u0442, \u0441\u043f\u0438\u0441\u043e\u043a \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438    condition: all of selection_*level: high<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/22\/33\/53\/223353f4fd8c7ebe67727c1430ac009d.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/22\/33\/53\/223353f4fd8c7ebe67727c1430ac009d.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/22\/33\/53\/223353f4fd8c7ebe67727c1430ac009d.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0422\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442: <\/em><code><em>1cv8t.exe<\/em><\/code><em> \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b <\/em><code><em>cmd.exe<\/em><\/code><em> (\u043f\u0440\u0430\u0432\u0438\u043b\u043e 1), \u0432\u043d\u0443\u0442\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d <\/em><code><em>whoami<\/em><\/code><em> (\u043f\u0440\u0430\u0432\u0438\u043b\u043e 3)<\/em> <\/p>\n<p>\u041b\u043e\u0436\u043d\u044b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u2014 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0438 \u0440\u0435\u0433\u043b\u0430\u043c\u0435\u043d\u0442\u043d\u044b\u0435 \u0437\u0430\u0434\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0448\u0442\u0430\u0442\u043d\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b: \u0430\u0440\u0445\u0438\u0432\u0430\u0442\u043e\u0440 \u0434\u043b\u044f \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438, \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u0435\u0447\u0430\u0442\u0438. \u0418\u0445 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f.<\/p>\n<h4>\u041f\u0440\u0430\u0432\u0438\u043b\u043e 2: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0441 \u0432\u044b\u0432\u043e\u0434\u043e\u043c \u0432 \u0444\u0430\u0439\u043b<\/h4>\n<p>\u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u0442\u0435 \u0435\u0449\u0451 \u0440\u0430\u0437 \u043d\u0430 \u0432\u0442\u043e\u0440\u043e\u0439 \u0438 \u0442\u0440\u0435\u0442\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a <code>cmd<\/code>: <code>whoami &gt; %TEMP%\\res.txt<\/code>. \u0422\u0430\u043a \u00ab\u043a\u043e\u043d\u0441\u043e\u043b\u044c\u00bb \u0432 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442: \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u0443, \u043f\u0438\u0448\u0435\u0442 \u0432\u044b\u0432\u043e\u0434 \u0432\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u0447\u0438\u0442\u0430\u0435\u0442 \u0435\u0433\u043e \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0432 \u0444\u043e\u0440\u043c\u0443 1\u0421. \u0421\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 <code>cmd<\/code> \u0442\u0430\u043a \u0441\u0435\u0431\u044f \u043d\u0435 \u0432\u0435\u0434\u0451\u0442, \u044d\u0442\u043e \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u0430\u044f \u0440\u0430\u0431\u043e\u0442\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e.<\/p>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0435: \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u043e 1, \u0438 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u0435\u0441\u0442\u044c <code>&gt;<\/code>. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u2014 <code>&gt;nul<\/code> \u0438 <code>2&gt;&amp;1<\/code>: \u044d\u0442\u043e \u043d\u0435 \u0432\u044b\u0432\u043e\u0434 \u0432 \u0444\u0430\u0439\u043b, \u0430 \u043f\u043e\u0434\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0432\u044b\u0432\u043e\u0434\u0430, \u0438 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0431\u0435\u0437 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u043e \u043d\u0430 \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u043d\u043e\u043c <code>chcp 1251 &gt;nul<\/code>.<\/p>\n<p>\u041d\u043e \u0432 Wazuh \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0442\u0430\u043a\u043e\u0439:<\/p>\n<pre><code>cmd.exe \/c \"whoami &amp;gt; C:\\Users\\WC01\\AppData\\Local\\Temp\\res.txt\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u0438\u043c\u0432\u043e\u043b <code>&gt;<\/code> \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u0432 XML-\u0441\u0443\u0449\u043d\u043e\u0441\u0442\u044c <code>&amp;gt;<\/code>, \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0441 \u043e\u0434\u043d\u0438\u043c <code>&gt;<\/code> \u043c\u043e\u043b\u0447\u0430 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0438\u0449\u0435\u043c \u043e\u0431\u0430 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430. \u041a\u0430\u043a \u0445\u0440\u0430\u043d\u0438\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0432\u0430\u0448\u0430 SIEM, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0438.<\/p>\n<h4>\u041f\u0440\u0430\u0432\u0438\u043b\u043e 3: \u0447\u0442\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0438 \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438<\/h4>\n<p><code>whoami.exe<\/code> \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0432\u044b\u0448\u0435 \u043f\u0440\u0438\u0448\u0451\u043b \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430: \u0435\u0433\u043e \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c \u2014 <code>cmd.exe<\/code>, \u0438 1\u0421 \u043e\u043d \u043d\u0438\u043a\u0430\u043a \u043d\u0435 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f. \u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u043e\u0442\u043a\u0440\u044b\u043b\u0430 \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u0438 \u0434\u0430\u043b\u044c\u0448\u0435 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 \u043d\u0435\u0439, \u043f\u0440\u0430\u0432\u0438\u043b\u043e 1 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043e\u0434\u0438\u043d \u0440\u0430\u0437, \u0430 \u0432\u0441\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043f\u043e\u0441\u043b\u0435 \u2014 \u043f\u0440\u043e\u0439\u0434\u0443\u0442 \u043c\u0438\u043c\u043e.<\/p>\n<p>\u0421\u0432\u044f\u0437\u0430\u0442\u044c \u0432\u043d\u0443\u043a\u0430 \u0441 \u0434\u0435\u0434\u0443\u0448\u043a\u043e\u0439 \u043f\u043e PID \u0443\u043c\u0435\u0435\u0442 \u043d\u0435 \u043a\u0430\u0436\u0434\u0430\u044f SIEM: \u0432 Wazuh, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043d\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u043f\u043e\u043b\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0441 \u043f\u043e\u043b\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e. \u0417\u0430\u0442\u043e \u0443 \u0432\u0441\u0435\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u043e\u0431\u0449\u0438\u0439 \u0441\u0435\u0430\u043d\u0441 \u0432\u0445\u043e\u0434\u0430 \u2014 <code>SubjectLogonId<\/code>, \u0430 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e \u043f\u043e\u043b\u044e \u0443\u043c\u0435\u0435\u0442 \u043b\u044e\u0431\u0430\u044f \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u044f.<\/p>\n<p>\u041b\u043e\u0433\u0438\u043a\u0430 \u0442\u0430\u043a\u0430\u044f: <strong>\u0435\u0441\u043b\u0438 \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 10 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 1 \u0432 \u0442\u043e\u043c \u0436\u0435 \u0441\u0435\u0430\u043d\u0441\u0435 \u0432\u0445\u043e\u0434\u0430 <\/strong><code><strong>cmd<\/strong><\/code><strong> \u0438\u043b\u0438 <\/strong><code><strong>powershell<\/strong><\/code><strong> \u0447\u0442\u043e-\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u2014 \u044d\u0442\u043e \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u0435 \u0430\u0442\u0430\u043a\u0438.<\/strong> <code>conhost.exe<\/code> \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u0435\u043c: \u043e\u043d \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u043e\u043d\u0441\u043e\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p>\u0413\u0434\u0435 \u0431\u0443\u0434\u0443\u0442 \u043b\u043e\u0436\u043d\u044b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f:<\/p>\n<ul>\n<li>\n<p>\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 \u0442\u043e\u043c \u0436\u0435 \u0441\u0435\u0430\u043d\u0441\u0435 \u0441\u0430\u043c \u043e\u0442\u043a\u0440\u044b\u043b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u2014 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0435 \u044d\u0442\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e;<\/p>\n<\/li>\n<li>\n<p><code>rphost<\/code> \u0438\u043b\u0438 \u043f\u0443\u043b IIS \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u043e\u0434 LocalSystem. \u0423 \u0432\u0441\u0435\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 SYSTEM \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 <code>SubjectLogonId<\/code> \u2014 <code>0x3E7<\/code>, \u0438 \u043f\u043e\u0441\u043b\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u0430 1 \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u044f \u0434\u0435\u0441\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442 \u0431\u0443\u0434\u0435\u0442 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043b\u044e\u0431\u0443\u044e \u043a\u043e\u043d\u0441\u043e\u043b\u044c, \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u0443\u044e \u043b\u044e\u0431\u043e\u0439 \u0441\u043b\u0443\u0436\u0431\u043e\u0439. \u041b\u0435\u0447\u0438\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u043e\u0439 \u0434\u043b\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421 \u0438 \u043f\u0443\u043b\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u2014 \u044d\u0442\u043e \u0438 \u0431\u0435\u0437 \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430.<\/p>\n<\/li>\n<\/ul>\n<details class=\"spoiler\">\n<summary>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 1\u20133 \u0434\u043b\u044f Wazuh<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"xml\">&lt;rule id=\"100107\" level=\"12\"&gt;  &lt;if_group&gt;windows&lt;\/if_group&gt;  &lt;field name=\"win.system.eventID\"&gt;^4688$&lt;\/field&gt;  &lt;field name=\"win.eventdata.parentProcessName\" type=\"pcre2\"&gt;(?i)\\\\(1cv8[a-z]*|rphost|w3wp)\\.exe$&lt;\/field&gt;  &lt;field name=\"win.eventdata.newProcessName\" type=\"pcre2\"&gt;(?i)\\\\(cmd|powershell|pwsh|wscript|cscript|mshta|rundll32|regsvr32|certutil|bitsadmin|wmic|schtasks|whoami|net1?)\\.exe$&lt;\/field&gt;  &lt;description&gt;1\u0421: $(win.eventdata.parentProcessName) \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b $(win.eventdata.newProcessName) - \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0438\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438&lt;\/description&gt;  &lt;mitre&gt;&lt;id&gt;T1059&lt;\/id&gt;&lt;\/mitre&gt;&lt;\/rule&gt;&lt;rule id=\"100108\" level=\"14\"&gt;  &lt;if_sid&gt;100107&lt;\/if_sid&gt;  &lt;field name=\"win.eventdata.commandLine\" type=\"pcre2\"&gt;(?i)(\\x3e|\\x26gt;)(?!\\s*(nul\\b|\\x26))&lt;\/field&gt;  &lt;description&gt;1\u0421: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0441 \u0432\u044b\u0432\u043e\u0434\u043e\u043c \u0432 \u0444\u0430\u0439\u043b - $(win.eventdata.commandLine)&lt;\/description&gt;  &lt;mitre&gt;&lt;id&gt;T1059.003&lt;\/id&gt;&lt;\/mitre&gt;&lt;\/rule&gt;&lt;rule id=\"100109\" level=\"12\" timeframe=\"600\"&gt;  &lt;if_matched_sid&gt;100107&lt;\/if_matched_sid&gt;  &lt;if_sid&gt;67027&lt;\/if_sid&gt;  &lt;same_field&gt;win.eventdata.subjectLogonId&lt;\/same_field&gt;  &lt;field name=\"win.eventdata.parentProcessName\" type=\"pcre2\"&gt;(?i)\\\\(cmd|powershell|pwsh)\\.exe$&lt;\/field&gt;  &lt;field name=\"win.eventdata.newProcessName\" type=\"pcre2\" negate=\"yes\"&gt;(?i)\\\\conhost\\.exe$&lt;\/field&gt;  &lt;description&gt;1\u0421: \u0432 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0435, \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0439 \u0438\u0437 1\u0421, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d $(win.eventdata.commandLine)&lt;\/description&gt;  &lt;mitre&gt;&lt;id&gt;T1059&lt;\/id&gt;&lt;\/mitre&gt;&lt;\/rule&gt;<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p><code>&gt;<\/code> \u0438 <code>&amp;gt;<\/code> \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u0447\u0435\u0440\u0435\u0437 <code>\\x<\/code>, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0432\u043e\u0435\u0432\u0430\u0442\u044c \u0441 \u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0432 XML \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430. <code>(?!\\s*(nul\\b|\\x26))<\/code> \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442 <code>&gt;nul<\/code> \u0438 <code>2&gt;&amp;1<\/code>.<\/p>\n<\/div>\n<\/details>\n<h3>\u041f\u043e\u0432\u043e\u0440\u043e\u0442: \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442<\/h3>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442, \u0430\u043b\u0435\u0440\u0442\u044b \u043b\u0435\u0442\u044f\u0442. \u041f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u2014 \u0442\u0430 \u0436\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430, \u043d\u043e \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442: \u0431\u0430\u0437\u0430 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0432 IIS, \u0437\u0430\u0445\u043e\u0436\u0443 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u043c, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u044e <code>.epf<\/code>, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e <code>whoami<\/code>.<\/p>\n<p>\u0410\u043b\u0435\u0440\u0442\u043e\u0432 \u043d\u0435\u0442.<\/p>\n<pre><code>17:43:06  w3wp.exe -&gt; cmd.exe     cmd.exe \/C \"whoami\"     user: DefaultAppPool17:43:06  cmd.exe  -&gt; whoami.exe<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0423 \u043c\u0435\u043d\u044f \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0431\u0430\u0437\u0430, \u0430 \u0441 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c \u0432\u0435\u0431-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f 1\u0421 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u043f\u0440\u044f\u043c\u043e \u0432 \u043f\u0443\u043b\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 IIS, \u0432 <code>w3wp.exe<\/code>. \u0420\u043e\u0434\u0438\u0442\u0435\u043b\u044c <code>cmd.exe<\/code> \u2014 \u043d\u0435 <code>1cv8<\/code> \u0438 \u043d\u0435 <code>rphost<\/code>, \u0430 <code>w3wp<\/code>, \u0438 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0435\u0433\u043e \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<p>\u0421 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0431\u0430\u0437\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432 <code>rphost.exe<\/code> \u2014 \u0442\u0430\u043a \u0438 \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u043d\u0430 codeby. \u042d\u0442\u043e\u0442 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u043e 1 \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u0435\u0442, \u043d\u043e \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u044f \u0435\u0433\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b. \u0410 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0435 \u0431\u0430\u0437\u044b \u0441 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u2014 \u043d\u0435 \u044d\u043a\u0437\u043e\u0442\u0438\u043a\u0430 \u0434\u043b\u044f \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439. \u0414\u0435\u0442\u0435\u043a\u0442, \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0439 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0442\u043e\u043b\u0441\u0442\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0435, \u0442\u0430\u043a\u043e\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u0431\u044b.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f <code>w3wp<\/code> \u0432 \u0441\u043f\u0438\u0441\u043e\u043a \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 1 \u0438 3: \u0437\u0430\u043f\u0443\u0441\u043a \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u0438 <code>whoami<\/code> \u0432\u043d\u0443\u0442\u0440\u0438 \u043d\u0435\u0451.<\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/c6\/4e\/b6\/c64eb6558109b3ebb976bf24076c7c71.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/c6\/4e\/b6\/c64eb6558109b3ebb976bf24076c7c71.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/c6\/4e\/b6\/c64eb6558109b3ebb976bf24076c7c71.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><em>\u0412\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442: \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c \u2014 <\/em><code><em>w3wp.exe<\/em><\/code><em>. \u041f\u043e\u0441\u043b\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0435\u0433\u043e \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 1 \u0438 3<\/em> <\/p>\n<p><code>w3wp.exe<\/code> \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e 1\u0421. \u0415\u0441\u043b\u0438 \u043d\u0430 \u0442\u043e\u043c \u0436\u0435 IIS \u0435\u0441\u0442\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0448\u0442\u0430\u0442\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0442 <code>cmd<\/code>, \u0438\u0445 \u043f\u0443\u043b\u044b \u043d\u0430\u0434\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0438\u0442\u044c. \u0425\u043e\u0442\u044f \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0435\u0435 <code>cmd<\/code>, \u2014 \u043f\u043e\u0432\u043e\u0434 \u043f\u0440\u0438\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c\u0441\u044f \u0438 \u0431\u0435\u0437 1\u0421.<\/p>\n<p>\u0415\u0449\u0451 \u0434\u0435\u0442\u0430\u043b\u044c: \u0432 \u043f\u0435\u0440\u0432\u043e\u043c \u043f\u0440\u043e\u0433\u043e\u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441 \u0432\u044b\u0432\u043e\u0434\u043e\u043c \u0432 \u0444\u0430\u0439\u043b \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0438\u0441\u044c \u2014 \u0443 \u043f\u0443\u043b\u0430 <code>DefaultAppPool<\/code> \u043d\u0435 \u0431\u044b\u043b\u043e \u043f\u0440\u0430\u0432 \u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433. \u0412 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u043c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u043f\u0438\u0441\u0430\u043b\u0430 \u0432\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u0430\u0437\u044b (<code>1Cv8Temp<\/code>), \u0438 \u0432\u044b\u0432\u043e\u0434 \u0432\u0435\u0440\u043d\u0443\u043b\u0441\u044f \u0432 \u0444\u043e\u0440\u043c\u0443. \u0422\u0430\u043a \u0447\u0442\u043e \u043d\u0430 \u043f\u0440\u0430\u0432\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0442\u044c \u043d\u0435 \u0441\u0442\u043e\u0438\u0442.<\/p>\n<h3>Sigma \u0438 \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438<\/h3>\n<p>\u0412\u0441\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 <code>sigma check<\/code>. \u041e\u0431\u044b\u0447\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0438 \u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f (\u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u044f <code>event_count<\/code>) \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0432 Splunk, Elastic ES|QL \u0438 EQL. \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 <code>&gt;nul<\/code> \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0435 \u0432\u044b\u0432\u043e\u0434\u0430 \u0432 \u0444\u0430\u0439\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u043e\u0439 PCRE: Splunk \u0435\u0451 \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442, \u0430 \u0434\u043b\u044f Elastic \u0444\u0438\u043b\u044c\u0442\u0440 \u043f\u0440\u0438\u0434\u0451\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u0430\u0442\u044c.<\/p>\n<p>\u0421 \u0446\u0435\u043f\u043e\u0447\u043a\u0430\u043c\u0438 \u0441\u043b\u043e\u0436\u043d\u0435\u0435. \u00ab\u0412\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430\u00bb \u0438 \u00ab\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0432 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0435 \u0438\u0437 1\u0421\u00bb \u2014 \u044d\u0442\u043e \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438 <code>temporal_ordered<\/code>. \u0411\u044d\u043a\u0435\u043d\u0434\u044b Splunk \u0438 ES|QL \u0438\u0445 \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442 \u0432\u043e\u0432\u0441\u0435. EQL \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u0435\u0442, \u043d\u043e \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043d\u0435\u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u0441 \u043f\u0443\u0441\u0442\u044b\u043c <code>by<\/code>. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u0442\u0438 \u0434\u0432\u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043b\u0435\u0436\u0430\u0442 \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u0430\u043f\u043a\u0435 <code>sigma-correlation\/<\/code> \u043a\u0430\u043a \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043b\u043e\u0433\u0438\u043a\u0438, \u0430 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 Wazuh. \u0412 \u0441\u0432\u043e\u0435\u0439 SIEM \u0438\u0445 \u043f\u0440\u0438\u0434\u0451\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u0435\u0451 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438.<\/p>\n<h3>\u0413\u0440\u0430\u0431\u043b\u0438<\/h3>\n<p>\u042d\u0442\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 Wazuh, \u043d\u043e \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u043b\u043e\u0432\u0443\u0448\u043a\u0438 \u0435\u0441\u0442\u044c \u0432 \u043b\u044e\u0431\u043e\u0439 SIEM \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0439\u0442\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u0436\u0438\u0432\u044b\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u0445:<\/p>\n<ul>\n<li>\n<p><strong>\u041a\u0438\u0440\u0438\u043b\u043b\u0438\u0446\u0430 \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445 \u043d\u0435 \u043c\u0430\u0442\u0447\u0438\u0442\u0441\u044f.<\/strong> \u041f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u043e \u00ab\u0421\u0435\u0430\u043d\u0441. \u041e\u0448\u0438\u0431\u043a\u0430 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438\u00bb \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0439\u0442\u0435 ASCII-ID \u0438\u0437 <code>.lgf<\/code>.<\/p>\n<\/li>\n<li>\n<p><strong>\u0421\u0432\u043e\u0439 \u0434\u0435\u043a\u043e\u0434\u0435\u0440 \u043d\u0435 \u043d\u0443\u0436\u0435\u043d.<\/strong> \u041f\u0440\u0438 <code>log_format=json<\/code> \u0430\u0433\u0435\u043d\u0442 \u043e\u0442\u0434\u0430\u0451\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0432\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u0434\u0435\u043a\u043e\u0434\u0435\u0440 <code>json<\/code>, \u0438 \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0439 \u0434\u0435\u043a\u043e\u0434\u0435\u0440 \u0441 <code>prematch<\/code> \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f. \u0424\u0438\u043b\u044c\u0442\u0440\u0443\u0439\u0442\u0435 \u043f\u043e \u043f\u043e\u043b\u044e: <code>decoded_as json<\/code> + <code>integration=1c<\/code>.<\/p>\n<\/li>\n<li>\n<p><code><strong>wazuh-logtest<\/strong><\/code><strong> \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Windows.<\/strong> \u0414\u0435\u043a\u043e\u0434\u0435\u0440 <code>windows_eventchannel<\/code> \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439, \u0438 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 <code>json<\/code>. \u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e 4688 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0436\u0438\u0432\u044b\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0435\u043c \u0441 \u0430\u0433\u0435\u043d\u0442\u0430.<\/p>\n<\/li>\n<li>\n<p><code><strong>&gt;<\/strong><\/code><strong> \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u043a\u0430\u043a <\/strong><code><strong>&amp;gt;<\/strong><\/code> \u2014 \u0441\u043c. \u043f\u0440\u0430\u0432\u0438\u043b\u043e 2.<\/p>\n<\/li>\n<li>\n<p><strong>\u041f\u043e\u043b\u0435 <\/strong><code><strong>event<\/strong><\/code><strong> \u0437\u0430\u043d\u044f\u0442\u043e<\/strong> \u2014 \u0441\u043c. \u0440\u0430\u0437\u0434\u0435\u043b \u043f\u0440\u043e \u0441\u0431\u043e\u0440\u0449\u0438\u043a.<\/p>\n<\/li>\n<\/ul>\n<h3>\u0427\u0442\u043e \u043d\u0435 \u043b\u043e\u0432\u0438\u0442\u0441\u044f<\/h3>\n<ul>\n<li>\n<p><strong>\u041f\u0440\u044f\u043c\u043e\u0439 \u0437\u0430\u043f\u0443\u0441\u043a \u0431\u0435\u0437 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438.<\/strong> \u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 <code>ipconfig.exe<\/code>, <code>reg.exe<\/code> \u0438\u043b\u0438 \u0441\u0432\u043e\u0439 <code>payload.exe<\/code> \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e, \u0431\u0435\u0437 <code>cmd<\/code>, \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab1\u0421 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0430 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0443\u00bb \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0443\u0432\u0438\u0434\u0438\u0442: \u043e\u043d\u043e \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u043d\u0430 \u0441\u043f\u0438\u0441\u043e\u043a \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0438 \u0443\u0442\u0438\u043b\u0438\u0442. \u041f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab\u043b\u044e\u0431\u043e\u0439 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 1\u0421\u00bb \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445 \u0434\u0430\u0441\u0442 \u043c\u043d\u043e\u0433\u043e \u0448\u0443\u043c\u0430 \u2014 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0448\u0442\u0430\u0442\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u044e\u0442 \u0438\u0437 1\u0421 Excel, PDF \u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440.<\/p>\n<\/li>\n<li>\n<p><strong>WMI.<\/strong> <code>Win32_Process.Create<\/code> \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 <code>WmiPrvSE.exe<\/code>, \u0430 \u043d\u0435 1\u0421.<\/p>\n<\/li>\n<li>\n<p><strong>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0431\u0435\u0437 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432.<\/strong> \u0421\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 \u0447\u0435\u0440\u0435\u0437 <code>MSXML2.XMLHTTP<\/code>, \u0437\u0430\u043f\u0438\u0441\u044c \u0447\u0435\u0440\u0435\u0437 <code>ADODB.Stream<\/code>, \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b (DLL) \u2014 \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u0445 4688 \u0438\u0445 \u043d\u0435\u0442. \u041d\u0443\u0436\u0435\u043d Sysmon (\u0441\u0435\u0442\u044c, \u0444\u0430\u0439\u043b\u044b, \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a) \u0438\u043b\u0438 EDR.<\/p>\n<\/li>\n<li>\n<p><strong>\u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430.<\/strong> Potato-\u0430\u0442\u0430\u043a\u0438 \u0438 \u043f\u0440\u043e\u0447\u0435\u0435, \u0447\u0442\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0441\u0434\u0435\u043b\u0430\u0435\u0442 \u0434\u0430\u043b\u044c\u0448\u0435, \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u043f\u043e\u043a\u0440\u044b\u0442\u044b \u2014 \u044d\u0442\u043e \u0437\u0430\u0434\u0430\u0447\u0430 \u043e\u0431\u0449\u0438\u0445 \u043f\u0440\u0430\u0432\u0438\u043b SIEM \u0438 EDR. \u0417\u0434\u0435\u0441\u044c \u043b\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u044b\u0439 \u0448\u0430\u0433: \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0430 \u0438\u0437 1\u0421.<\/p>\n<\/li>\n<li>\n<p><strong>\u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b <\/strong><code><strong>cmd<\/strong><\/code><strong>.<\/strong> <code>dir<\/code>, <code>type<\/code>, <code>echo<\/code> \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u044e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432. \u0418\u0445 \u0432\u0438\u0434\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435, \u0435\u0441\u043b\u0438 \u043e\u043d\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u044b \u0447\u0435\u0440\u0435\u0437 <code>\/c<\/code>.<\/p>\n<\/li>\n<li>\n<p><strong>\u041f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 Apache.<\/strong> \u0420\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u043c \u0431\u0443\u0434\u0435\u0442 <code>httpd.exe<\/code>, \u0435\u0433\u043e \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445 \u043d\u0435\u0442 \u2014 \u0434\u043e\u0431\u0430\u0432\u044c\u0442\u0435, \u0435\u0441\u043b\u0438 \u0443 \u0432\u0430\u0441 Apache.<\/p>\n<\/li>\n<li>\n<p><strong>\u041e\u0447\u0438\u0441\u0442\u043a\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438.<\/strong> \u0415\u0441\u043b\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0441\u043e\u043a\u0440\u0430\u0442\u0438\u0442 \u0438\u043b\u0438 \u0443\u0434\u0430\u043b\u0438\u0442 \u0436\u0443\u0440\u043d\u0430\u043b, \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0434\u043e \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u043c\u0435\u043d\u0442\u0430 \u043f\u0440\u043e\u043f\u0430\u0434\u0443\u0442 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435. \u0421\u0431\u043e\u0440\u0449\u0438\u043a \u043a \u044d\u0442\u043e\u043c\u0443 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438\u0445 \u0443\u0436\u0435 \u0437\u0430\u043f\u0438\u0448\u0435\u0442, \u0430 \u0430\u0433\u0435\u043d\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442, \u043d\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043d\u0430 \u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043f\u043e\u043a\u0430 \u043d\u0435\u0442.<\/p>\n<\/li>\n<li>\n<p><strong>\u0424\u043e\u0440\u043c\u0430\u0442 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 <\/strong><code><strong>.lgd<\/strong><\/code> (SQLite) \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u043f\u043e\u043a\u0430 \u043d\u0435 \u0447\u0438\u0442\u0430\u0435\u0442.<\/p>\n<\/li>\n<li>\n<p><strong>\u0421\u0442\u0435\u043d\u0434<\/strong>: \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0431\u0430\u0437\u0430, \u0443\u0447\u0435\u0431\u043d\u0430\u044f 8.3.16, \u0431\u0435\u0437 \u0411\u0421\u041f. \u0412\u0435\u0442\u043a\u0430 \u0441 <code>rphost<\/code> \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0431\u0430\u0437\u0435 \u0432 \u043b\u0430\u0431\u0435 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044c.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u0440\u043e EDR: \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u0438\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0445\u043e\u0440\u043e\u0448\u0435\u0433\u043e EDR \u0447\u0430\u0441\u0442\u043e \u043b\u043e\u0432\u044f\u0442 <code>cmd<\/code> \u043e\u0442 \u043d\u0435\u0442\u0438\u043f\u0438\u0447\u043d\u043e\u0433\u043e \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044f. \u0421\u0442\u0430\u0442\u044c\u044f \u0434\u043b\u044f \u0442\u0435\u0445, \u0443 \u043a\u043e\u0433\u043e EDR \u043d\u0435\u0442 \u0438\u043b\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421 \u0435\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u043b\u0438 \u0440\u0430\u0434\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438, \u0430 \u0442\u0430\u043a\u043e\u0435 \u0431\u044b\u0432\u0430\u0435\u0442 \u0447\u0430\u0441\u0442\u043e.<\/p>\n<h3>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0443 \u0441\u0435\u0431\u044f<\/h3>\n<p>\u0415\u0441\u043b\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0443\u0436\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f (Sysmon EID 1 \u0438\u043b\u0438 4688), \u043c\u043e\u0436\u043d\u043e \u0441\u0440\u0430\u0437\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438\u0441\u0442\u043e\u0440\u0438\u044e: \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0438 \u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b 1\u0421 \u0438 IIS \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0443\u0442\u0438\u043b\u0438\u0442\u044b. \u0417\u0430\u043f\u0440\u043e\u0441 \u043f\u043e\u0434 \u0441\u0432\u043e\u044e SIEM: <code>sigma convert -t &lt;backend&gt; sigma\/1c_shell_spawn.yml<\/code>.<\/p>\n<details class=\"spoiler\">\n<summary>\u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u043b\u044f Splunk \u0438 Sysmon<\/summary>\n<div class=\"spoiler__content\">\n<p>\u0421\u043f\u0438\u0441\u043e\u043a \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0441\u043e\u043a\u0440\u0430\u0449\u0451\u043d:<\/p>\n<pre><code>index=* source=\"XmlWinEventLog:Microsoft-Windows-Sysmon\/Operational\" EventCode=1ParentImage IN (\"*\\\\1cv8.exe\", \"*\\\\1cv8c.exe\", \"*\\\\1cv8t.exe\", \"*\\\\1cv8ct.exe\", \"*\\\\rphost.exe\", \"*\\\\w3wp.exe\")Image IN (\"*\\\\cmd.exe\", \"*\\\\powershell.exe\", \"*\\\\pwsh.exe\", \"*\\\\mshta.exe\", \"*\\\\certutil.exe\", \"*\\\\whoami.exe\")| table User,ParentImage,Image,CommandLine<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<\/div>\n<\/details>\n<p>\u041f\u0443\u0441\u0442\u043e\u043c\u0443 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0443 \u0432\u0435\u0440\u044c\u0442\u0435, \u0442\u043e\u043b\u044c\u043a\u043e \u0435\u0441\u043b\u0438 \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 <code>cmd<\/code>, \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0439 \u0438\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u0430 \u0430\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0431\u044b\u043b \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0432\u0435\u0441\u044c \u0441\u0440\u043e\u043a \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u043e\u0432.<\/p>\n<h3>\u0418\u0442\u043e\u0433\u043e<\/h3>\n<p>\u0416\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u043a\u0430\u0436\u0435\u0442 \u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u0435\u0439, \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0441\u0430\u043c \u0444\u0430\u043a\u0442 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u0412\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0432 \u043d\u0451\u043c \u043d\u0435 \u0432\u0438\u0434\u043d\u043e, \u0435\u0433\u043e \u043b\u043e\u0432\u044f\u0442 \u043f\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c Windows. \u0418 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0439\u0442\u0435 \u0434\u0435\u0442\u0435\u043a\u0442 \u043d\u0430 \u0432\u0441\u0435\u0445 \u043f\u0443\u0442\u044f\u0445 \u0434\u043e\u0441\u0442\u0443\u043f\u0430: \u0443 \u043c\u0435\u043d\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043c\u043e\u043b\u0447\u0430\u043b\u043e \u043d\u0430 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442\u0435.<\/p>\n<p>\u0427\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0443 \u0441\u0435\u0431\u044f:<\/p>\n<ol>\n<li>\n<p>\u0412\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0430\u0443\u0434\u0438\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0441 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 1\u0421 \u0438 IIS.<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0435\u0440\u0432\u0435\u0440 1\u0421 \u0438 \u043f\u0443\u043b IIS \u043f\u043e\u0434 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0443\u0447\u0451\u0442\u043a\u0430\u043c\u0438 \u0431\u0435\u0437 \u043f\u0440\u0430\u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430.<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u0431\u0440\u0430\u0442\u044c \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0432 SIEM \u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u0430.<\/p>\n<\/li>\n<li>\n<p>\u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0438 \u043d\u0435 \u043e\u0442\u043a\u043b\u044e\u0447\u0430\u0442\u044c \u0437\u0430\u0449\u0438\u0442\u0443 \u043e\u0442 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439.<\/p>\n<\/li>\n<\/ol>\n<p>1\u0421 \u0435\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u0432 \u043a\u0430\u0436\u0434\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0443 \u043d\u0435\u0451 \u043f\u0440\u0430\u0432\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0441\u0435\u0442\u0438 \u0438 \u0434\u0435\u043d\u044c\u0433\u0430\u043c, \u0438 \u0435\u0439 \u0432\u0441\u0435 \u0434\u043e\u0432\u0435\u0440\u044f\u044e\u0442. \u0414\u043b\u044f \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 \u044d\u0442\u043e \u0443\u0434\u043e\u0431\u043d\u0430\u044f \u043f\u043b\u043e\u0449\u0430\u0434\u043a\u0430, \u0447\u0442\u043e\u0431\u044b \u0440\u0430\u0437\u0432\u0438\u0442\u044c \u0430\u0442\u0430\u043a\u0443 \u043d\u0430 \u0432\u0441\u044e \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e. \u0415\u0441\u043b\u0438 1\u0421 \u043d\u0435 \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u044d\u0442\u043e \u0441\u043b\u0435\u043f\u0430\u044f \u0437\u043e\u043d\u0430, \u0433\u0434\u0435 \u0435\u043c\u0443 \u0441\u043f\u043e\u043a\u043e\u0439\u043d\u043e \u0438 \u043a\u043e\u043c\u0444\u043e\u0440\u0442\u043d\u043e.<\/p>\n<p>\u0421\u0431\u043e\u0440\u0449\u0438\u043a \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 (Sigma \u0438 Wazuh): <a href=\"https:\/\/github.com\/r00tAlchemist\/1c-threat-detection\" rel=\"noopener nofollow\"><strong>https:\/\/github.com\/r00tAlchemist\/1c-threat-detection<\/strong><\/a><\/p>\n<p>\u0415\u0441\u043b\u0438 \u0432\u044b \u0432\u0438\u0434\u0435\u043b\u0438 \u0430\u0442\u0430\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 1\u0421 \u0432 \u0441\u0432\u043e\u0438\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 \u0438\u043b\u0438 \u0437\u043d\u0430\u0435\u0442\u0435, \u0447\u0442\u043e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u0438\u0448\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 \u0438 \u0441 \u0411\u0421\u041f, \u2014 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0438\u0442\u0435 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u0445. \u0414\u043e\u043f\u043e\u043b\u043d\u044e \u043f\u0440\u0430\u0432\u0438\u043b\u0430.<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1105852\/\">https:\/\/habr.com\/ru\/articles\/1105852\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u041e\u0442\u043a\u0440\u044b\u0432\u0430\u044e \u0432\u043d\u0435\u0448\u043d\u044e\u044e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u0432 1\u0421. \u041d\u0430\u0436\u0438\u043c\u0430\u044e \u043a\u043d\u043e\u043f\u043a\u0443. \u0412 \u043e\u043a\u043d\u0435 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f ws01\\wc01.\u042d\u0442\u043e whoami, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0439 \u0438\u0437 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 .epf. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0443\u0442 \u043d\u0435\u0442, \u0442\u0430\u043a \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430. \u041c\u0435\u043d\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043e\u0432\u0430\u043b\u043e \u0434\u0440\u0443\u0433\u043e\u0435: \u0443\u0432\u0438\u0434\u0438\u0442 \u043b\u0438 \u044d\u0442\u043e SOC. \u0411\u0430\u0437\u0430 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438; \u0447\u0442\u043e \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421, \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443 \u043d\u0438\u0436\u0435.\u0418\u0434\u0443 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 1\u0421. \u041f\u0443\u0441\u0442\u043e: \u043d\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043d\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b. \u0422\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0440\u0430 \u0442\u0440\u0430\u043d\u0437\u0430\u043a\u0446\u0438\u0439 Begin\/Commit.\u0418\u0434\u0443 \u0432 SIEM. \u0422\u043e\u0436\u0435 \u043f\u0443\u0441\u0442\u043e: \u043f\u0440\u0430\u0432\u0438\u043b \u043f\u043e\u0434 \u044d\u0442\u043e \u043d\u0435\u0442 \u043d\u0438 \u0443 \u043c\u0435\u043d\u044f, \u043d\u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0443 \u0432\u0430\u0441.\u0412\u043d\u0435\u0448\u043d\u044f\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0432 1\u0421 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0430 whoami \u0414\u043b\u044f \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e 1\u0421 \u2014 \u0437\u043e\u043b\u043e\u0442\u0430\u044f \u0436\u0438\u043b\u0430. \u0412 \u043e\u0434\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043b\u0435\u0436\u0430\u0442 \u0434\u0435\u043d\u044c\u0433\u0438, \u0437\u0430\u0440\u043f\u043b\u0430\u0442\u044b, \u043a\u043e\u043d\u0442\u0440\u0430\u0433\u0435\u043d\u0442\u044b \u0438 \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0430 \u0443 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u0435\u0441\u0442\u044c \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043b\u044e\u0431\u043e\u0439 \u043a\u043e\u0434 \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0435, \u0433\u0434\u0435 \u043e\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. 1\u0421 \u0441\u0442\u043e\u0438\u0442 \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439, \u043d\u043e \u0432 SOC, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u044f \u0432\u0438\u0434\u0435\u043b \u043d\u0430 \u043f\u0440\u043e\u0435\u043a\u0442\u0430\u0445, \u0436\u0443\u0440\u043d\u0430\u043b 1\u0421 \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u043b\u0438: SIEM \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043b\u043e\u0433\u0438 \u0434\u043e\u043c\u0435\u043d\u0430, \u043f\u043e\u0447\u0442\u044b \u0438 \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u043e\u0432, \u0430 1\u0421 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0441\u043b\u0435\u043f\u044b\u043c \u043f\u044f\u0442\u043d\u043e\u043c.\u0418 \u0434\u0435\u043b\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0434\u0430\u043d\u043d\u044b\u0445. \u0428\u0442\u0430\u0442\u043d\u044b\u043c\u0438 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 1\u0421 \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 (WScript.Shell), \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e HTTP (HTTP\u0421\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435) \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0447\u0442\u0443 (\u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u041f\u043e\u0447\u0442\u0430\u041f\u0440\u043e\u0444\u0438\u043b\u044c). \u0410 \u0441 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c \u043a \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0442\u043e\u0440\u0443 \u043a\u043e\u0434 \u0432 \u043e\u0431\u0449\u0435\u043c \u043c\u043e\u0434\u0443\u043b\u0435 \u043f\u043e\u0441\u043b\u0435 F7 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e, \u043a\u0442\u043e \u043e\u0442\u043a\u0440\u043e\u0435\u0442 \u0431\u0430\u0437\u0443: \u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0430 \u0441\u0440\u0430\u0437\u0443 \u043d\u0430 \u0432\u0441\u044e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044e, \u0431\u0435\u0437 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0447\u0435\u0433\u043e-\u043b\u0438\u0431\u043e \u043b\u0438\u0448\u043d\u0435\u0433\u043e.\u041d\u0430 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0430\u0445 \u044f \u043d\u0435 \u0440\u0430\u0437 \u0437\u0430\u0445\u043e\u0434\u0438\u043b \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0447\u0435\u0440\u0435\u0437 1\u0421. \u0412\u0441\u0442\u0440\u0435\u0447\u0430\u043b \u0438 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 1\u0421, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442, \u0438 \u0442\u043e\u0433\u0434\u0430 \u0432\u0441\u0451 \u0440\u0435\u0448\u0430\u0435\u0442 \u043f\u0430\u0440\u043e\u043b\u044c.\u041a\u0430\u043a \u0430\u0442\u0430\u043a\u0443\u044e\u0442 1\u0421, \u043d\u0430 \u0425\u0430\u0431\u0440\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0445\u043e\u0440\u043e\u0448\u043e, \u043f\u0440\u0438\u0447\u0451\u043c \u043f\u0440\u043e \u0440\u0430\u0437\u043d\u044b\u0435 \u0432\u0435\u043a\u0442\u043e\u0440\u044b, \u043e\u0442 \u043a\u043e\u043d\u0441\u043e\u043b\u0438 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0430 \u0434\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043e\u043a (\u0440\u0430\u0437, \u0434\u0432\u0430, \u0442\u0440\u0438).\u0421\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0442\u043e\u0436\u0435 \u0435\u0441\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b. Kaspersky \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b, \u0433\u0434\u0435 \u0438\u0441\u043a\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 1\u0421 \u043f\u0440\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438, \u0430 \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u043d\u0430 codeby \u0435\u0441\u0442\u044c \u0447\u0435\u043a-\u043b\u0438\u0441\u0442 \u0434\u043b\u044f SIEM \u0438 Sigma-\u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043d\u0430 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b rphost.exe.\u0412 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0445 SIEM 1\u0421 \u0442\u043e\u0436\u0435 \u043d\u0435 \u0437\u0430\u0431\u044b\u0442\u0430: \u0432 KUMA \u0435\u0441\u0442\u044c \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u043e\u0440 \u0434\u043b\u044f \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 (\u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0443 \u0432 XML), \u0434\u043b\u044f MaxPatrol SIEM Positive Technologies \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0430 \u043f\u0430\u043a\u0435\u0442 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u0438\u0437\u044b 1\u0421.\u041d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0432 SIEM, \u043b\u043e\u0432\u0438\u0442 \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438\u0437 1\u0421 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d \u043d\u0430 \u0430\u0442\u0430\u043a\u0430\u0445, \u044f \u043d\u0435 \u043d\u0430\u0448\u0451\u043b, \u0430 \u0441\u043e\u0441\u0442\u0430\u0432 \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u043e\u0431\u0440\u0430\u043b \u0441\u0442\u0435\u043d\u0434, \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b \u0441\u0432\u043e\u044e 1\u0421 \u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e\u0434 \u043a\u0430\u0436\u0434\u0443\u044e \u0430\u0442\u0430\u043a\u0443.\u0412 \u0441\u0442\u0430\u0442\u044c\u0435:\u0447\u0442\u043e 1\u0421 \u043f\u0438\u0448\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438, \u0430 \u0447\u0442\u043e \u043d\u0435\u0442;\u0433\u0434\u0435 \u043b\u0435\u0436\u0438\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0438 \u043a\u0430\u043a \u0437\u0430\u0431\u0440\u0430\u0442\u044c \u0435\u0433\u043e \u0432 SIEM;\u043f\u0440\u0430\u0432\u0438\u043b\u0430: \u043f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f, \u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430, \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043e\u043a;\u043f\u043e\u0447\u0435\u043c\u0443 \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0434\u0435\u0442\u0435\u043a\u0442 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u043c\u043e\u043b\u0447\u0430\u043b;\u0447\u0442\u043e \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u043d\u0435 \u043b\u043e\u0432\u0438\u0442\u0441\u044f.\u0421\u0431\u043e\u0440\u0449\u0438\u043a \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0432\u044b\u043b\u043e\u0436\u0438\u043b \u043d\u0430 GitHub: \u043c\u043e\u0436\u043d\u043e \u0431\u0440\u0430\u0442\u044c \u0438 \u0434\u043e\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0442\u044c \u043f\u043e\u0434 \u0441\u0435\u0431\u044f.\u041a\u0430\u043a \u044d\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0432 \u0430\u0442\u0430\u043a\u0430\u0445\u0412\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u2014 \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c 1\u0421: \u0444\u0430\u0439\u043b .epf \u0441 \u043a\u043e\u0434\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u00ab\u0424\u0430\u0439\u043b \u2192 \u041e\u0442\u043a\u0440\u044b\u0442\u044c\u00bb. \u041a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 1\u0421. \u041d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 8.3.9 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u043d\u043e \u0435\u0433\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442\u044c, \u0430 \u0432 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u0443 \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c. \u0423 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0435\u0441\u0442\u044c \u0432\u0441\u0435\u0433\u0434\u0430.\u0412 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445 \u044d\u0442\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f:\u0432 \u043a\u0435\u0439\u0441\u0435 Solar \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0435\u0440\u044b \u043f\u043e\u0434\u043e\u0431\u0440\u0430\u043b\u0438 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u0440\u043e\u043b\u0438, \u0441 \u043d\u0438\u043c\u0438 \u0432\u043e\u0448\u043b\u0438 \u0432 1\u0421, \u0447\u0435\u0440\u0435\u0437 \u0448\u0442\u0430\u0442\u043d\u0443\u044e \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0437\u0430\u043b\u0438\u043b\u0438 \u0432\u0435\u0431-\u0448\u0435\u043b\u043b \u0438 \u0432\u044b\u0448\u043b\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c;\u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u043d\u0430 codeby \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0442\u0430\u043a\u0430\u044f: \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f 1\u0421 \u2192 .epf \u2192 rphost.exe \u2192 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432 \u2192 GPO \u2192 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a.\u0412 \u043e\u0431\u043e\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 1\u0421 \u2014 \u0442\u043e\u0447\u043a\u0430 \u0432\u0445\u043e\u0434\u0430, \u0430 \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0448\u0442\u0430\u0442\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b.\u041f\u043e\u0447\u0435\u043c\u0443 \u044d\u0442\u043e \u0435\u0449\u0451 \u0438 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439\u041a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 1\u0421. \u041a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u043b \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 (\u0432 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u0435 \u0447\u0435\u0440\u0435\u0437 \u0442\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442 \u2014 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u0442\u043e\u0436\u0435). \u0421\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u043a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u0439 \u0431\u0430\u0437\u044b \u0438\u043b\u0438 \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421 \u0438\u043b\u0438 \u043f\u0443\u043b\u0430 IIS. \u0418 \u0432\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u043f\u0440\u0430\u0432\u0430 \u043e\u0431\u044b\u0447\u043d\u043e \u0432\u044b\u0448\u0435, \u0447\u0435\u043c \u043d\u0443\u0436\u043d\u043e:\u0441\u0435\u0440\u0432\u0435\u0440 1\u0421 (ragent, rphost) \u0447\u0430\u0441\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u043f\u043e\u0434 LocalSystem \u0438\u043b\u0438 \u043f\u043e\u0434 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0432 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b, \u00ab\u0447\u0442\u043e\u0431\u044b \u0432\u0441\u0451 \u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e\u00bb. \u0422\u043e\u0433\u0434\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0439 \u043a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 SYSTEM \u0438\u043b\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 1\u0421, \u0430 \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440, \u0433\u0434\u0435 \u043b\u0435\u0436\u0430\u0442 \u0432\u0441\u0435 \u0431\u0430\u0437\u044b \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438.\u0434\u0430\u0436\u0435 \u043f\u043e\u0434 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u043e\u0439 \u0443 \u0441\u043b\u0443\u0436\u0431\u044b \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044f SeImpersonatePrivilege, \u043a\u0430\u043a \u0438 \u0443 \u043f\u0443\u043b\u0430 IIS. \u042d\u0442\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0443\u0442\u044c \u0434\u043e SYSTEM \u0447\u0435\u0440\u0435\u0437 \u0430\u0442\u0430\u043a\u0438 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 Potato (T1134.001). \u041d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 whoami \/priv \u0438\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 DefaultAppPool, \u0438 SeImpersonatePrivilege \u0443 \u043d\u0435\u0433\u043e \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0430.\u043f\u0440\u0430\u0432\u0430 \u0432 1\u0421 \u0438 \u043f\u0440\u0430\u0432\u0430 \u0432 Windows \u043d\u0438\u043a\u0430\u043a \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u044b. \u0411\u0443\u0445\u0433\u0430\u043b\u0442\u0435\u0440 \u0441 \u0440\u043e\u043b\u044c\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0431\u0430\u0437\u044b \u0438\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u043d\u0435 \u0438\u043c\u0435\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e. \u041d\u043e \u0447\u0435\u0440\u0435\u0437 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043e\u043d \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043a\u043e\u0434 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0443\u0447\u0451\u0442\u043a\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421.\u0420\u0430\u0437\u043d\u0438\u0446\u0443 \u0432\u0438\u0434\u043d\u043e \u043d\u0430 \u043e\u0434\u043d\u043e\u0439 \u0438 \u0442\u043e\u0439 \u0436\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435. \u0427\u0435\u0440\u0435\u0437 \u0442\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442 whoami \/priv \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u044f\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0427\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0442\u0430 \u0436\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u0436\u0435 \u0434\u0435\u0441\u044f\u0442\u044c, \u0441\u0440\u0435\u0434\u0438 \u043d\u0438\u0445 SeImpersonatePrivilege \u0438 SeAssignPrimaryTokenPrivilege: \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 IIS.\u0422\u043e\u043b\u0441\u0442\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442: \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, 5 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0412\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442: \u0442\u0430 \u0436\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430, \u043a\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u0443\u043b\u0430 IIS, 10 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, SeImpersonatePrivilege \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0430 \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0438\u0437 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 codeby \u043c\u0435\u0436\u0434\u0443 rphost.exe \u0438 GPO \u0441\u0442\u043e\u0438\u0442 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432: 1\u0421 \u0434\u0430\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u0430 \u0434\u0430\u043b\u044c\u0448\u0435 \u0434\u043e \u0434\u043e\u043c\u0435\u043d\u0430 \u043d\u0435\u0434\u0430\u043b\u0435\u043a\u043e.\u0421\u0442\u0435\u043d\u0434\u041c\u0430\u0448\u0438\u043d\u0430\u0427\u0442\u043e \u0442\u0430\u043cWS01Windows 11 (build 26300, 1\u0421 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043a\u0430\u043a Windows 10), 1\u0421:\u041f\u0440\u0435\u0434\u043f\u0440\u0438\u044f\u0442\u0438\u0435 8.3.16 (\u0443\u0447\u0435\u0431\u043d\u0430\u044f), \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0431\u0430\u0437\u0430, \u0432\u0435\u0431-\u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u0432 IIS, \u0430\u0433\u0435\u043d\u0442 WazuhsiemUbuntu 22.04, Wazuh 4.12 (\u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440 + \u0438\u043d\u0434\u0435\u043a\u0441\u0430\u0442\u043e\u0440)\u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0435\u043d\u0434\u0430 \u0441\u0440\u0430\u0437\u0443: \u0431\u0430\u0437\u0430 \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f, \u0443\u0447\u0435\u0431\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 8.3.16, \u0431\u0435\u0437 \u0411\u0421\u041f. \u0412\u0441\u0451, \u0447\u0442\u043e \u043d\u0438\u0436\u0435 \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430, \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043e \u043d\u0430 \u044d\u0442\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u043d\u0435 \u0441\u0430\u043c\u0430\u044f \u0441\u0432\u0435\u0436\u0430\u044f, \u0438 \u043d\u0430 8.3.2x \u0438 \u0441 \u0442\u0438\u043f\u043e\u0432\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 \u0447\u0430\u0441\u0442\u044c \u0434\u0435\u0442\u0430\u043b\u0435\u0439 \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u043b\u0438\u0447\u0430\u0442\u044c\u0441\u044f \u2014 \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u043a\u043e\u043d\u0446\u0435. \u0415\u0441\u043b\u0438 \u0443 \u0432\u0430\u0441 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u0438 \u043d\u0430\u043f\u0438\u0448\u0438\u0442\u0435 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u0445: \u0434\u043e\u043f\u043e\u043b\u043d\u044e.\u041c\u043e\u0434\u0435\u043b\u044c \u0443\u0433\u0440\u043e\u0437\u0427\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0441 1\u0421 \u0438 \u0447\u0435\u043c \u044d\u0442\u043e \u0432\u0438\u0434\u043d\u043e:\u0410\u0442\u0430\u043a\u0430MITRE ATT&amp;CK\u0413\u0434\u0435 \u0441\u043b\u0435\u0434\u041f\u0440\u0430\u0432\u0438\u043b\u043e\u041f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f \u043a \u0431\u0430\u0437\u0435T1110.001\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u04381c_bruteforce.yml\u0412\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430T1110, T1078\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u04381c_login_after_bruteforce.yml\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0430\u0437\u044bT1136\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u04381c_user_created.yml\u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0430\u0437\u044bT1531\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u04381c_user_deleted.yml\u0418\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 (\u0437\u0430\u043a\u043b\u0430\u0434\u043a\u0430)T1505\u0436\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u04381c_config_update.yml\u0412\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438T1059\u0442\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f Windows1c_shell_spawn.yml \u0438 \u0435\u0449\u0451 \u0434\u0432\u0430\u041f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0430\u0432 \u0447\u0435\u0440\u0435\u0437 \u0443\u0447\u0451\u0442\u043a\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 1\u0421T1134.001\u0441\u043e\u0431\u044b\u0442\u0438\u044f Windows\u043f\u0435\u0440\u0432\u044b\u0439 \u0448\u0430\u0433 \u2014 1c_shell_spawn.yml\u0416\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0438 \u043a\u0430\u043a \u0435\u0433\u043e \u0437\u0430\u0431\u0440\u0430\u0442\u044c\u0423 1\u0421 \u0434\u0432\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430. \u0422\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u2014 \u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u044b\u0439: \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e (logcfg.xml), \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0439 \u0438 \u0434\u043b\u044f \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u0433\u043e \u0441\u0431\u043e\u0440\u0430 \u043d\u0435 \u0433\u043e\u0434\u0438\u0442\u0441\u044f. \u0416\u0443\u0440\u043d\u0430\u043b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0438\u0448\u0435\u0442\u0441\u044f \u0432\u0441\u0435\u0433\u0434\u0430: \u0432\u0445\u043e\u0434\u044b, \u043e\u0448\u0438\u0431\u043a\u0438 \u0432\u0445\u043e\u0434\u0430, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u0415\u0433\u043e \u0438 \u0431\u0435\u0440\u0451\u043c.\u041e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u0433\u0435\u043d\u0442 SIEM \u043c\u043e\u0433 \u0431\u044b \u0447\u0438\u0442\u0430\u0442\u044c \u043f\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e, 1\u0421 \u043d\u0435 \u0434\u0430\u0451\u0442. \u0416\u0443\u0440\u043d\u0430\u043b \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0441\u0432\u043e\u0451\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435: \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0441\u0441\u044b\u043b\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a \u043f\u043e \u043d\u043e\u043c\u0435\u0440\u0430\u043c, \u0430 \u043e\u0434\u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u044c \u0440\u0430\u0441\u0442\u044f\u043d\u0443\u0442\u0430 \u043d\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0440\u043e\u043a \u0441\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u0441\u043a\u043e\u0431\u043a\u0430\u043c\u0438. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u0435\u0436\u0434\u0443 1\u0421 \u0438 \u0430\u0433\u0435\u043d\u0442\u043e\u043c \u043d\u0443\u0436\u0435\u043d \u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0432 JSON.\u0416\u0443\u0440\u043d\u0430\u043b \u043b\u0435\u0436\u0438\u0442 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 1Cv8Log:\u0411\u0430\u0437\u0430\u0413\u0434\u0435\u0424\u0430\u0439\u043b\u043e\u0432\u0430\u044f&lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u0430\u0437\u044b&gt;\\1Cv8Log (\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0432\u0438\u0434\u0435\u043d \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0431\u0430\u0437 \u043e\u043a\u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430)\u041a\u043b\u0438\u0435\u043d\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f&lt;srvinfo&gt;\\reg_1541\\&lt;GUID \u0431\u0430\u0437\u044b&gt;\\1Cv8Log, \u043e\u0431\u044b\u0447\u043d\u043e C:\\Program Files\\1cv8\\srvinfo\\&#8230;\u0427\u0442\u043e \u0432 \u043d\u0451\u043c:1Cv8.lgf \u2014 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a: \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438, \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u044b, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u0442\u0438\u043f\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0441\u0432\u043e\u0439 \u043d\u043e\u043c\u0435\u0440. \u0414\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e \u0445\u043e\u0434\u0443: \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a \u043f\u0440\u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0438 \u0441 \u043d\u0438\u043c;*.lgp \u2014 \u0441\u0430\u043c\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u044f. \u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u2014 \u0434\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u0435\u0433\u043e \u043d\u0430\u0447\u0430\u043b\u0430 (20261026000000.lgp), \u043d\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0437\u0430\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e \u043f\u0435\u0440\u0438\u043e\u0434\u0443 \u0438\u0437 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u0436\u0443\u0440\u043d\u0430\u043b\u0430. \u0412\u043c\u0435\u0441\u0442\u043e \u0438\u043c\u0451\u043d \u0432 \u0437\u0430\u043f\u0438\u0441\u044f\u0445 \u0441\u0442\u043e\u044f\u0442 \u043d\u043e\u043c\u0435\u0440\u0430 \u0438\u0437 .lgf;1Cv8.lgd \u2014 \u0434\u0440\u0443\u0433\u043e\u0439 \u0444\u043e\u0440\u043c\u0430\u0442, \u0432\u0441\u0451 \u0432 \u043e\u0434\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 SQLite. \u0412\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e, \u043c\u043e\u0439 \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u0435\u0433\u043e \u043f\u043e\u043a\u0430 \u043d\u0435 \u0447\u0438\u0442\u0430\u0435\u0442.\u0417\u0430\u043f\u0438\u0441\u044c \u0441\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u0438\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a {4,&#187;_$Session$_.AuthenticationError&#187;,10}: \u0442\u0438\u043f (4 \u2014 \u0441\u043e\u0431\u044b\u0442\u0438\u0435), \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0438 \u043d\u043e\u043c\u0435\u0440, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0441\u044b\u043b\u0430\u044e\u0442\u0441\u044f \u0437\u0430\u043f\u0438\u0441\u0438 .lgp.\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u043f\u043e ASCII-\u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0439: _$Session$_.Authentication, _$Session$_.AuthenticationError, _$User$_.New, _$InfoBase$_.ConfigUpdate. \u0412 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 1\u0421 \u0438\u0445 \u043d\u0435 \u0432\u0438\u0434\u043d\u043e, \u0442\u0430\u043c \u00ab\u0421\u0435\u0430\u043d\u0441. \u041e\u0448\u0438\u0431\u043a\u0430 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438\u00bb.\u0421\u0431\u043e\u0440\u0449\u0438\u043a onec_shipper.py \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441\u043b\u0443\u0436\u0431\u043e\u0439 Windows: \u0447\u0438\u0442\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 .lgp, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u043c\u0435\u043d\u0430 \u0438\u0437 .lgf \u0438 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0432 C:\\ProgramData\\1c-eventlog\\events.json, \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 JSON \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443. \u041f\u043e\u0437\u0438\u0446\u0438\u044e \u0447\u0442\u0435\u043d\u0438\u044f \u043e\u043d \u0445\u0440\u0430\u043d\u0438\u0442 \u0432 checkpoint.json \u0438 \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u0442 \u0441 \u0442\u043e\u0433\u043e \u0436\u0435 \u043c\u0435\u0441\u0442\u0430. \u0424\u0430\u0439\u043b \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u0430\u0433\u0435\u043d\u0442 SIEM, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0443 \u0432\u0430\u0441 \u0443\u0436\u0435 \u0441\u0442\u043e\u0438\u0442, \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 JSON; \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u043d\u0435 \u043d\u0443\u0436\u043d\u044b. \u0421\u0442\u0430\u0432\u0438\u0442\u0441\u044f \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u043e\u0434\u043d\u0438\u043c \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c install.ps1, \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u2014 \u0432 README \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f.\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435:{&#171;integration&#187;:&#187;1c&#187;,&#187;ib&#187;:&#187;demo&#187;,&#187;ts&#187;:&#187;2026-11-05T17:05:35&#8243;,&#187;ev&#187;:{&#171;id&#187;:&#187;_$Session$_.AuthenticationError&#187;,&#187;level&#187;:&#187;information&#187;,&#187;data&#187;:&#187;WS01\\\\WC01&#8243;},&#187;user&#187;:{&#171;name&#187;:&#187;&#187;},&#187;computer&#187;:&#187;WS01&#8243;,&#187;app&#187;:&#187;1CV8&#8243;,&#187;session&#187;:2,&#187;comment&#187;:&#187;&#187;}\u041f\u043e\u0447\u0435\u043c\u0443 \u043f\u043e\u043b\u0435 ev, \u0430 \u043d\u0435 event: \u0438\u043c\u044f event \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0443\u0436\u0435 \u0437\u0430\u043d\u044f\u0442\u043e \u0432 \u0441\u0445\u0435\u043c\u0435 \u0432\u0430\u0448\u0435\u0439 SIEM. \u0412 Wazuh, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, data.event \u0432 \u0448\u0430\u0431\u043b\u043e\u043d\u0435 \u0438\u043d\u0434\u0435\u043a\u0441\u0430 \u2014 \u0441\u0442\u0440\u043e\u043a\u0430, \u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0441 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u043b\u0435 \u043d\u0435 \u043f\u0440\u043e\u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u0443\u0435\u0442\u0441\u044f. \u0423\u0447\u0442\u0438\u0442\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u043e\u043b\u0435\u0439.\u041f\u0440\u0430\u0432\u0438\u043b\u0430 \u043f\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0443 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438\u0412\u0441\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0435\u0441\u0442\u044c \u0432 \u0434\u0432\u0443\u0445 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430\u0445: Sigma, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e SIEM, \u0438 \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 Wazuh, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441\u0442\u0435\u043d\u0434. \u0412 \u0442\u0435\u043a\u0441\u0442\u0435 \u2014 \u043b\u043e\u0433\u0438\u043a\u0430, \u0441\u0430\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u2014 \u043f\u043e\u0434 \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438.\u041f\u043e\u0434\u0431\u043e\u0440 \u043f\u0430\u0440\u043e\u043b\u044f\u041b\u043e\u0433\u0438\u043a\u0430 \u0432 \u0442\u0440\u0438 \u0448\u0430\u0433\u0430:\u043e\u0448\u0438\u0431\u043a\u0430 \u0432\u0445\u043e\u0434\u0430 \u2014 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 _$Session$_.AuthenticationError, \u0441\u0430\u043c\u043e \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0438\u0437\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c;\u043f\u043e\u0434\u0431\u043e\u0440 \u2014 \u043f\u044f\u0442\u044c \u043e\u0448\u0438\u0431\u043e\u043a \u0437\u0430 60 \u0441\u0435\u043a\u0443\u043d\u0434 \u0432 \u043e\u0434\u043d\u043e\u0439 \u0431\u0430\u0437\u0435;\u0432\u0445\u043e\u0434 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430 \u2014 \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0439 _$Session$_.Authentication \u0432 \u0442\u0443 \u0436\u0435 \u0431\u0430\u0437\u0443 \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0432\u0443\u0445 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0431\u043e\u0440\u0430, \u0443\u0440\u043e\u0432\u0435\u043d\u044c critical.\u0418 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u043f\u0440\u0438\u044f\u0442\u043d\u0430\u044f \u043d\u0430\u0445\u043e\u0434\u043a\u0430. \u041d\u0430 \u043c\u043e\u0451\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0432 1\u0421 \u043f\u0438\u0448\u0435\u0442 AuthenticationError. \u041f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e \u041e\u0421, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043e\u0442\u043a\u0430\u0437, \u043f\u0438\u0448\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0442\u043e\u043c \u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e \u043f\u0430\u0440\u043e\u043b\u044e. \u0417\u0430\u043f\u0438\u0441\u044c \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a \u0436\u0435, \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044c \u043f\u0440\u0438 \u043d\u0435\u0432\u0435\u0440\u043d\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u0435.\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 \u043d\u0435\u0439 \u043f\u0443\u0441\u0442\u043e\u0439, \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0443\u0447\u0451\u0442\u043a\u0430 Windows, \u043f\u043e\u0434 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u043a\u043b\u0438\u0435\u043d\u0442 (WS01\\WC01). \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0448\u0438\u0431\u043a\u0438 \u043f\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e 1\u0421 \u043d\u0435\u043b\u044c\u0437\u044f \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e \u0431\u0430\u0437\u0435. \u0423\u0447\u0451\u0442\u043a\u0443 Windows \u0441\u0431\u043e\u0440\u0449\u0438\u043a \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0432 ev.data, \u043d\u043e \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u043a\u043b\u0438\u0435\u043d\u0442 \u0442\u0430\u043c \u0443 \u0432\u0441\u0435\u0445 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 NT AUTHORITY\\IUSR, \u0442\u0430\u043a \u0447\u0442\u043e \u0438 \u043e\u043d\u0430 \u043d\u0435 \u0441\u043f\u0430\u0441\u0430\u0435\u0442.\u042f \u0441\u0440\u0430\u0432\u043d\u0438\u043b \u0437\u0430\u043f\u0438\u0441\u0438 \u0446\u0435\u043b\u0438\u043a\u043e\u043c: \u043f\u0440\u0438 \u043d\u0435\u0432\u0435\u0440\u043d\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u0435 \u0438 \u043f\u0440\u0438&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-502439","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/502439","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=502439"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/502439\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=502439"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=502439"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=502439"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}