Запропонуйте структуру правила кореляції для виявлення атаки Pass-the-Hash у корпоративній мережі.

Question

Answer

Event ID 1102 при плановому очищенні журналів системним адміністратором у вихідний день

Answer

Event ID 4624 (LogonType 3) з використанням NTLM автентифікації від нетипової робочої станції

Answer

Event ID 4625 під час входу користувача на свій ПК у робочий час за допомогою Kerberos

Answer

Event ID 4688 при запуску стандартного додатка Notepad.exe з робочого столу користувача

Crowdly