Интернетмагазин

 
267
Рис. 13.16
Обратите внимание, что в этом случае оператор говорит contains, но это мо-
жет быть и equals. Причина использования слова contains состоит в том, что это 
может дать больше результатов. Для целей данного расследования нам нужно 
знать все процессы, которые содержат эти строки в имени. Результат этого за-
проса показывает следующие записи (рис. 13.17).
Рис. 13.17
Вывод всегда приходит в этом формате таблицы и позволяет визуализиро-
вать все детали по совпадениям для данного запроса.

Перейдите по этой ссылке, чтобы ознакомиться с еще одним примером использования 
возможностей поиска для обнаружения важной информации об атаке: 
https://blogs.
technet.microsoft.com/yuridiogenes/2017/10/20/searching-for-a-malicious-process-in-
azure-security-center/. 
в
ывоДы
 
Каждый раз по окончании инцидента вы должны не только задокументировать 
каждый шаг, сделанный в ходе расследования, но и убедиться, что вы иденти-
фицируете ключевые аспекты расследования, которые необходимо либо пере-
смотреть, чтобы внести улучшения, либо исправить, поскольку получилось не 
очень хорошо. Выводы имеют решающее значение для постоянного улучше-
ния процесса и предотвращения повторения одних и тех же ошибок.
В обоих случаях для получения доступа к учетным данным пользователя 
и повышения привилегий использовалось инструментальное средство кражи 
учетных данных. Атаки на учетные данные пользователя представляют собой 
растущую угрозу, и данное решение – это вовсе не волшебное средство. Оно 
представляет собой совокупность задач, таких как:

сокращение числа учетных записей с правами администратора и устра-
нение учетных записей с правами администратора на локальных 
компью терах. Обычные пользователи не должны быть администратора-
ми на своей рабочей станции;

---

268  Расследование инцидента 

максимальное использование многофакторной аутентификации;

настройка политик безопасности для ограничения прав входа;

наличие плана для периодического перезапуска учетной записи