Устроиться в BI.ZONE всего за один день — легко, ведь на OFFZONE 2023 мы проведем One Day Offer. А чтобы желающим было проще заявить о себе, запускаем конкурс, три победителя которого получат бесплатные проходки на конференцию. В этом году задания нацелены на аналитиков SOC, специалистов с опытом форензики и расследования инцидентов, а также специалистов по анализу киберугроз.
Каждый участник OFFZONE получит шанс пройти интервью и присоединиться к команде BI.ZONE SOC в тот же день. Выбирайте вакансию на сайте и приходите на наш стенд 24–25 августа.
Условия конкурса
Выполните как можно больше заданий из списка ниже.
До 13 августа пришлите решение на почту friends@bi.zone с темой письма One Day Offer.
Мы объявим итоги конкурса 21 августа в нашем телеграм-канале.
При выборе победителей будем опираться на следующие критерии оценки заданий:
полноту,
техническую грамотность,
структурированность,
качество оформления.
Список заданий
Необязательно выполнять все задания, главное — сделать качественно. Перейти к заданиям.
№ | Описание задания |
|---|---|
1 | В одной компании произошел инцидент. Администратор вовремя запустил запись сетевого трафика на контроллере домена. Все происходило в нерабочее время, легитимной активности сотрудников не зафиксировано. Расследуйте этот случай: проанализируйте предоставленные данные, установите, как злоумышленники провели атаку, и опишите ее основные шаги |
2 | Администраторы зафиксировали внеплановую перезагрузку хоста. Пока искали ее причину, на хосте обнаружили отключенный антивирус. Никто из сотрудников антивирус не отключал, поэтому решили передать логи специалистам для анализа. Ваше задание: 1. По логам выясните назначение скомпрометированного хоста. |
3 | В нашу компанию обратилась одна из школ чародейства и волшебства. Главный администратор расследовал инцидент, связанный с одним из компьютеров школы, но перестал выходить на связь. Все, что он успел сделать, — это снять дамп оперативной памяти (RAM) и оставить странную записку: «Win10x64_17763». Помогите нам разобраться в этой проблеме. 1. Выясните наименование хоста (изначальное и конечное). |
4 | В телеграм-каналах появились посты о том, что злоумышленники якобы полностью скомпрометировали инфраструктуру одной известной организации. В качестве доказательств они опубликовали часть email-переписки сотрудников этой компании. Во время расследования администратор выгрузил часть файлов с событиями сервера Exchange. Проанализируйте предоставленные артефакты и установите, был ли почтовый сервер затронут атакой. Если он был скомпрометирован, опишите все действия атакующих на этом сервере |
5 | При выполнении технических работ администратор обнаружил странный ELF-файл. 1. Проведите статический и динамический анализ этого файла. |
6 | По скриншотам событий из встроенных журналов Windows и Sysmon определите характер происходившей активности. Опишите, что произошло, легитимная ли это активность, что означают те или иные команды, а также укажите тактики и техники MITRE ATT&CK по каждому представленному событию |
7 | В компании «Рога и копыта» IT-администратор обнаружил, что от одного из внутренних серверов не поступает информация о потреблении ресурсов системы. В ходе разбирательства выявили, что средство сбора такой информации было выключено, а сервер потреблял много ресурсов CPU. Администратор обнаружил на сервере майнер, который потреблял все доступные ресурсы. Согласовав действия с отделом кибербезопасности, администратор завершил процесс майнера и собрал артефакты для расследования. Выясните: 1. Назначение скомпрометированного сервера. |
8 | К вам как специалисту центра мониторинга обратился заказчик. Он недавно приобрел услуги вашей компании, и теперь ему нужно подключить мониторинг IT-инфраструктуры. Заказчик передал список потенциальных источников событий, которые можно подключить к SIEM-системе. На основе списка источников составьте таблицу с порядком их подключения. Для каждого источника укажите: 1. Приоритет подключения (1, 2, 3). |
9 | Появилась информация, что группа злоумышленников собирается атаковать инфраструктуру одного из клиентов центра мониторинга. Атакующие используют Sliver в качестве C2-фреймворка. Предложите как можно больше детектирующих правил для выявления этого вредоносного ПО. Их можно описать в синтаксисе правил корреляции для одной из SIEM, а также в формате Sigma или псевдологики |
10 | В центр мониторинга обратилась организация, пострадавшая от атаки Ransomware. Сейчас последствия инцидента устранены, но есть риск повторных атак в будущем. Предложите рекомендации по повышению уровня защищенности инфраструктуры Active Directory, выполнение которых помешает атакующим быстро скомпрометировать домен повторно |
Желаем удачи!
