سجلات Windows: المناوبة الليلية

أنت في المناوبة الصباحية في مركز العمليات الأمنية. خلال الليل أطلق نظام SIEM تنبيهاً: أكثر من 10 محاولات دخول فاشلة في 15 دقيقة على SRV-FILE01، وهو خادم ملفات Windows. لم ينظر فيه أحد بعد.

صُدِّر لك سجل Security في ملف CSV. مهمتك أن تعيد بناء ما جرى في الليل:

1. من كان مستهدفاً: أي حساب لاحقه المهاجم؟
2. هل دخل: تنبيه بمحاولات فاشلة أقل أهمية بكثير من فشل يليه نجاح.
3. ماذا فعل: المهاجم الذي يدخل كثيراً ما يترك باباً خلفياً، حساباً خاصاً به، ويمنحه صلاحيات.

كل شيء في case-0412/. اقرأ أولاً ALERT.txt وevent-ids.txt، ثم استكشف security.csv. الأوامر التي ستختصر عليك الوقت: grep للتصفية، وcut لاختيار عمود، وsort | uniq -c للعدّ. نفّذ help لرؤية خياراتها.