اقرأ بالعربيةEN
Menu

Retour à l’Académie

CLR-3 · Lab pratique · Facile ·environ 25 min

Journaux Windows : la garde de nuit

Une alerte de force brute s’est déclenchée à 2 h du matin sur un serveur de fichiers. Trie l’export du journal Security avec grep, cut, sort et uniq : quel compte était visé, l’attaquant est-il entré, qu’a-t-il fait ensuite ?

La mission

Tu es de garde du matin au SOC. Pendant la nuit, le SIEM a levé une alerte : plus de 10 échecs de connexion en 15 minutes sur SRV-FILE01, un serveur de fichiers Windows. Personne ne l’a encore regardée.

Le journal Security a été exporté pour toi en CSV. Ta mission : reconstituer la nuit.

  1. Qui était visé : quel compte l’attaquant a-t-il ciblé ?
  2. Est-il entré : une alerte d’échecs compte beaucoup moins qu’un échec suivi d’une réussite.
  3. Qu’a-t-il fait : un attaquant qui entre crée souvent une porte dérobée, un compte à lui, et lui donne des droits.

Tout est dans case-0412/. Lis d’abord ALERT.txt et event-ids.txt, puis explore security.csv. Les commandes qui vont te faire gagner du temps : grep pour filtrer, cut pour choisir une colonne, sort | uniq -c pour compter. Lance help pour voir leurs options.

Terminal

Tapez help pour voir les commandes disponibles. Tab pour compléter, ↑ ↓ pour l’historique.

Questions

  1. Quel compte a subi le plus d’échecs de connexion (événement 4625) ?25 XP

    1. Les échecs venaient tous d’une seule adresse IP. À quelle heure cette adresse a-t-elle obtenu sa première connexion réussie (4624) ? Réponds au format HH:MM:SS.25 XP

      1. Une fois entré, l’attaquant a créé un nouveau compte utilisateur (4720). Quel est son nom ?25 XP

        1. L’attaquant a ensuite ajouté ce compte à un groupe local (4732). Lequel ?25 XP