Интернетмагазин

Suspicious
Process Execution Activity Detected (Обнаружена подозрительная актив-
ность – выполняется процесс) – рис. 13.11.
Рис. 13.11
Описание этого предупреждения вполне ясно дает понять, что происходит 
в данный момент, и в этом одно из самых больших преимуществ системы мо-
ниторинга, отслеживающей поведение процесса. Она будет наблюдать за эти-
ми шаблонами и сопоставлять эти данные со своими собственными сводками 
данных об угрозах, чтобы понять, являются эти действия подозрительными 
или нет. Предоставленные шаги по исправлению могут также помочь предпри-

---

Исследование скомпрометированной системы в гибридном облаке 
 
263
нять дальнейшие действия. Давайте продолжим искать другие оповещения. 
Следующее оповещение имеет высокий приоритет. Тут сообщается о выпол-
нении подозрительного процесса (рис. 13.12).
Рис. 13.12

---

264  Расследование инцидента 
Это оповещение показывает, что был выполнен файл mimikatz.exe и что ро-
дительским процессом был cmd.exe. Поскольку для успешного запуска mimikatz 
требуется привилегированная учетная запись, предполагается, что этот сеанс 
запуска командной строки выполняется в контексте учетной записи с высо-
кими привилегиями, в данном случае это 
EMSAdmin. Заметные события, о ко-
торых вы уже знаете, также должны быть рассмотрены. Мы пропустим первое, 
т. к. знаем, что это уничтожение улик (стирание файлов журнала), но следую-
щее не очень понятно, поэтому давайте рассмотрим его (рис. 13.13).
Рис. 13.13
Это еще один признак того, что злоумышленник скомпрометировал другие 
файлы, такие как rundll32.exe. На данный момент у вас достаточно информа-
ции, чтобы продолжить расследование. Как описано в главе 12 «Киберраз-

---

Исследование скомпрометированной системы в гибридном облаке 