Интернетмагазин

260  Расследование инцидента 
Рис. 13.8
Рис. 13.9

---

Исследование скомпрометированной системы в гибридном облаке 
 
261
В этот инцидент включены четыре оповещения, и, как видно, они органи-
зованы в соответствии со временем, а не приоритетом. В нижней части этой 
панели есть два заметных события, представляющих собой дополнительную 
информацию, которая может быть полезна во время расследования. Первое 
событие всего лишь сообщает, что установленная на локальном компьютере 
антивирусная программа смогла заблокировать попытку переноса фрагмента 
вредоносного ПО в локальной системе. Это хорошо, но, к сожалению, у зло-
умышленника была высокая мотивация для продолжения атаки, и ему уда-
лось отключить антивирус в локальной системе. Важно помнить, что для этого 
злоумышленнику нужно было повысить привилегии и запустить команду типа 
Taskkill
или killav, чтобы завершить процесс антивирусного ПО. Далее у нас 
идет предупреждение со средним приоритетом, показывающее, что было об-
наружено подозрительное имя процесса (рис. 13.10).
Рис. 13.10
В данном случае это процесс mimikatz.exe, который также использовался 
в предыдущем случае. Вы можете спросить: почему это средний приоритет, 

---

262  Расследование инцидента 
а не высокий? Потому, что на данный момент этот процесс еще не запущен. Вот 
почему в оповещении говорится: 
Suspicious process name detected (Обнару-
жено подозрительное имя процесса).
Еще одним важным фактом здесь является тип атакуемого ресурса: 
Non-
Azure Resource – именно так вы определяете, что это локальный компьютер 
или виртуальная машина в другом облачном провайдере (например, Amazon 
AWS). Переходя к следующему оповещению, мы видим надпись