Четыре источника расходятся во времени — выстройте действия злоумышленника в истинном порядке.
Вы оцениваете охват инцидента на хосте WS-419 и имеете по одной строке из четырёх защитных источников.
Ограничения:
- Источники пишут в разных зонах; известно, что часы файлового сервера спешат на 47 минут.
- Приведите всё к UTC и назовите истинную последовательность.
vpn.log 2026-03-04 05:58:11Z auth success user j.orlov from 198.51.100.9
edr_alerts.json 2026-03-04 06:15:02Z WS-419 (10.2.4.19) new service installed
fileserver.audit 2026-03-04 09:52:00 +03:00 mass read of \\FS1\hr by j.orlov
firewall.log 2026-03-04 09:22:44 +03:00 outbound 10.2.4.19 -> 203.0.113.7:443 1.4 GBВосстановите таймлайн и укажите, какую запись надо скорректировать, прежде чем ей верить.
Сначала приводим к UTC и правим часы: файловый сервер спешит на 47 минут, поэтому его 09:52 +03:00 — это 06:05Z. Истинный порядок: вход по VPN 05:58Z, чтение файлов 06:05Z, установка службы 06:15Z, затем выгрузка 1.4 ГБ в 06:22Z.
- ✗Сортировать по напечатанным цифрам, не переведя смещения зон в UTC
- ✗Прибавлять дрейф спешащих часов вместо того, чтобы его вычесть
- ✗Выбрасывать источник с расхождением вместо коррекции на измеренное смещение
- →Как измерить и зафиксировать смещение часов хоста, чтобы коррекция была защитимой?
- →Какой дополнительный источник подтвердит, что вход по VPN был первичным доступом?
Порядок разбора: сначала нормализация, потом коррекция, и только затем выводы.
vpn.log 05:58:11Z уже в UTC
edr_alerts.json 06:15:02Z уже в UTC
fileserver.audit 09:52:00 +03:00 = 06:52:00Z, минус 47 мин спешки = 06:05:00Z
firewall.log 09:22:44 +03:00 = 06:22:44ZИстинная последовательность: вход по VPN (05:58Z) -> массовое чтение общей папки HR (06:05Z) -> установка новой службы на WS-419 как закрепление (06:15Z) -> выгрузка 1.4 ГБ наружу (06:22Z). Корректировать надо запись файлового сервера: без вычета 47 минут она встаёт после выгрузки и создаёт ложную картину, будто данные ушли до того, как их прочитали. Смещение часов надо измерить и записать в материалы дела — иначе поправка недоказуема.
