TryHackMe Trusted By Default | Windows Forensics | Полное прохождение 2026

Расследование предполагаемого злоупотребления доверенной учетной записью службы с использованием Splunk 🐕 Ссылка на комнату: https://tryhackme.com/room/trustedbydefault 🐱 Краткое описание кейса: 🐱 Компания Aurora Retail передала информацию о предполагаемом взломе учетной записи службы для срочного расследования. 🐱 Рекомендации по расследованию 🐱 🐕 Начните с достаточно широкого охвата, чтобы сравнить нормальную и аномальную активность. 🐕 Проверьте возвращенные поля перед добавлением фильтров. 🐕 Используйте значение, полученное в одном вопросе, в качестве опорного для следующего. 🐕 Используйте поля конечной точки, специфичные для источника, вместо поля хоста приема Splunk. 🐕 Используйте десятичные байты для точной суммы передачи, если в вопросе не требуется другая единица измерения. Основной инцидент произошел 11 августа 2026 года. 🐱 Задачи / Вопросы: 🐱 🐕 Просмотрите веб-журналы на предмет необычного POST-запроса, связанного с началом инцидента. Какой URI-путь был запрошен? Укажите полный путь, начинающийся с косой черты. 🐕 Изучите то же подозрительное событие POST и проанализируйте данные клиента, записанные вместе с ним. Какой IP-адрес источника отправил запрос? Укажите только IP-адрес. 🐕 Сопоставьте подозрительный веб-запрос с входами в систему Windows на AUR-WEB01. Какая несистемная учетная запись получила пакетный вход незадолго до запроса? 🐕 Какой тип входа в систему Windows был зарегистрирован для этого пакетного входа? 🐕 После активности веб-сервера просмотрите изменения членства в группах Windows, касающиеся учетной записи службы приложения портала. Какая привилегированная группа была изменена? Укажите имя группы точно так, как оно было записано. 🐕 Проанализируйте то же событие членства в группе. Какой пользователь внес изменения? Укажите только имя пользователя. 🐕 Продолжите анализ событий успешного входа в систему на файловом сервере в течение короткого промежутка времени после изменения группы. Какая не встроенная учетная запись сгенерировала как сетевой, так и удаленный интерактивный вход в систему? Укажите только имя учетной записи. 🐕 Проанализируйте успешные входы в систему для этой учетной записи. Какой числовой параметр LogonType идентифицирует удаленную интерактивную сессию? Укажите только число. 🐕 Используйте исходный IP-адрес из подозрительного POST-запроса в качестве опорного и сопоставьте активность RDP в течение короткого периода инцидента. Какой целевой IP-адрес связан с устойчивым соединением, а не с попытками немедленного сброса? Укажите только IP-адрес. 🐕 Проанализируйте устойчивое RDP-соединение, выявленное на предыдущем шаге. Какое значение resp_bytes записывает данные, возвращаемые целевым соединением? Укажите только цифры. ⚠️ Только для образовательных целей Этот контент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Всегда проверяйте наличие разрешения перед тестированием на любых системах. Не забудьте поставить 👍 ЛАЙК и 🔔 ПОДПИСАТЬСЯ, чтобы получать больше уроков по кибербезопасности! #tryhackme