Интернетмагазин

252  Расследование инцидента 
Рис. 13.4
В дополнение к этому убедитесь, что у вас есть все события безопасности, 
и при их анализе сосредоточьтесь вот на чем.
Идентификатор 
события
Описание 
Сценарий безопасности
1102
Журнал аудита был 
очищен
Когда злоумышленники проникают в вашу среду, у них 
может возникнуть желание избавиться от улик, и очистка 
журнала событий является подтверждением тому. 
Обязательно проверьте, кто очистил журнал, была ли эта 
операция преднамеренной и санкционированной или 
же она была непреднамеренной или неизвестной
(из-за того, что учетная запись была взломана)
4624
Пользователь был
успешно авторизован
Очень часто регистрируются только ошибки,
но во многих случаях знание того, кто успешно вошел
в систему, важно для понимания того, кто и какое
действие выполнил
4625
Не удалось выполнить 
вход
Многократные попытки получить доступ к учетной 
записи могут быть признаком атаки методом полного 
перебора. При просмотре данного журнала вы можете 
увидеть признаки этого
4657
Значение в реестре было 
изменено
Не у каждого должна быть возможность изменять ключи 
реестра, и даже если у вас есть повышенные привилегии 
для выполнения этой операции, то все еще необходимо 
дальнейшее изучение, чтобы установить достоверность 
данного изменения
4663
Предпринята попытка 
получить доступ к объекту
Хотя это событие может генерировать много ложных 
срабатываний, по-прежнему актуально собирать
и просматривать его по требованию. Другими словами, 
если у вас есть иные доказательства, указывающие на 
несанкционированный доступ к файловой системе, вы 
можете использовать данный журнал, чтобы просмот реть 
детальную информацию о том, кто сделал это изменение

---

Масштаб проблемы 