Sur la piste de l'attaquant
Énoncé
Le poste de l'administrateur (192.168.25.235) est suspecté d'avoir été compromis. Analysez zeek.csv pour identifier la connexion probablement utilisée par l'attaquant pour accéder à une autre machine. Repères d'exploitation : - L'administrateur gère habituellement les serveurs 192.168.25.10, 192.168.25.20 et 192.168.25.30, entre 08:00 et 18:00 UTC. - Des interventions en journée sur d'autres postes et des interventions nocturnes sur ces serveurs sont possibles.- Aucun dépannage nocturne sur un autre poste n'était prévu.
Le fichier couvre les 20 et 21 octobre 2026. C'est un CSV séparé par des points-virgules ; le champ ts contient un timestamp Unix.
Les services d'administration à examiner sont RDP (TCP/3389) et WinRM (TCP/5985 et TCP/5986). SMB (TCP/445) peut éclairer l'activité ultérieure.
Le flag est l'UID de la connexion recherchée, à soumettre tel quel
Proposé par ba6Votre réponse
Un problème avec cet exercice ? Signaler une erreur