SOC & Điều tra

Hai bài thực hành trên log mẫu. Tìm bằng chứng, viết kết luận và đối chiếu lời giải.

Đăng nhập

PowerShell

Điều tra đăng nhập bất thường

20 phútT1110.003Log mô phỏng

Đọc Windows Security log của một kịch bản password spraying và phân biệt lần thử thất bại với đăng nhập thành công.

Đếm sự kiện 4625 theo tài khoản. Tìm sự kiện 4624 của Administrator có nguồn được ghi nhận. Ghi mã bản ghi, thời điểm UTC và đề xuất bước xác minh tiếp theo.

Thời gian UTC	Mã sự kiện	Bản ghi	Tài khoản hoặc loại sự kiện	Chi tiết
Thời gian UTC	Mã sự kiện	Bản ghi	Tài khoản hoặc loại sự kiện	Chi tiết
2023-11-06T16:45:22Z	4624	12863	Administrator	Loại 3 · Nguồn ATTACKER
2023-11-06T16:46:22Z	4625	12864	Administrator	Loại 3 · Nguồn -
2023-11-06T16:46:22Z	4625	12866	Administrator	Loại 3 · Nguồn -
2023-11-06T16:47:21Z	4624	12923	VICTIM	Loại 3 · Nguồn -
2023-11-06T16:47:23Z	4625	12553	Administrator	Loại 3 · Nguồn -
2023-11-06T16:47:23Z	4625	12653	Administrator	Loại 3 · Nguồn -
2023-11-06T16:47:23Z	4625	12753	Administrator	Loại 3 · Nguồn -
2023-11-06T16:47:23Z	4625	12853	Administrator	Loại 3 · Nguồn -

40 bản ghi
1
2
3
4
5

Ghi kết luận của anh/chị

Ghi chú dùng để tự đối chiếu trong phiên học.

Xem gợi ý

Đối chiếu lời giải

Dữ liệu đã được rút gọn theo trường để phục vụ bài học. Nguồn Splunk Attack Data · Apache-2.0