SOC Simulator 1.3Beta

לוח ניטור (SOC Dashboard)

מוצגים: 5 / 5

• 2026-10-10 02:11:04WS-HR-07j.cohensrc 10.0.8.45
  Event ID 4625

  Logon Type 3, Status 0xC000006D, Sub Status 0xC000006A — סיסמה שגויה

• 2026-10-10 02:11:09WS-HR-07j.cohensrc 10.0.8.45
  Event ID 4625

  אותה שגיאה, 5 שניות אחרי

• 2026-10-10 02:11:15WS-HR-07j.cohensrc 10.0.8.45
  Event ID 4625

  ניסיון 38 בתוך 2 דקות

• 2026-10-10 02:11:16DC01j.cohensrc WS-HR-07
  Event ID 4740

  החשבון ננעל. Caller Computer Name: WS-HR-07

• 2026-10-10 08:02:40WS-FIN-02m.levisrc 10.0.5.12
  Event ID 4624

  Logon Type 2 בשעת עבודה רגילה — רעש רקע

ציר זמן של התקרית

סדר את האירועים בסדר הנכון, סמן עובדה מול השערה והערך את רמת הביטחון שלך.

1. 2026-10-10 08:02:40WS-FIN-02m.leviEvent 4624

   Logon Type 2 בשעת עבודה רגילה — רעש רקע

   עובדההשערה
2. 2026-10-10 02:11:16DC01j.cohenEvent 4740

   החשבון ננעל. Caller Computer Name: WS-HR-07

   עובדההשערה
3. 2026-10-10 02:11:15WS-HR-07j.cohenEvent 4625

   ניסיון 38 בתוך 2 דקות

   עובדההשערה
4. 2026-10-10 02:11:09WS-HR-07j.cohenEvent 4625

   אותה שגיאה, 5 שניות אחרי

   עובדההשערה
5. 2026-10-10 02:11:04WS-HR-07j.cohenEvent 4625

   Logon Type 3, Status 0xC000006D, Sub Status 0xC000006A — סיסמה שגויה

   עובדההשערה

חקירה

1. 1. מה קרה?

   המשתמש שכח סיסמה פעם אחתחשד לניחוש אוטומטי; יש לבדוק שירות עם סיסמה ישנהתקלת רפליקציה ב־DC
2. 2. איזו ראיה מראה מאיפה הגיעו הניסיונות?

   Caller Computer Name ב־4740 ו־Source IP ב־4625ההתחברות של m.levi ב־08:02שם החשבון בלבד
3. 3. מה הפעולה הראשונה הנכונה?

   לבטל נעילה מיד ולסגור את ההתראהלמחוק את החשבוןלבדוק ולבודד את WS-HR-07, ורק אז לאפס סיסמה ולבטל נעילה
4. 4. איזו חלופה צריך לבדוק?

   כל רצף 4625 הוא בהכרח תקיפהשירות או משימה עם סיסמה ישנה; בדוק תהליכים, משימות ואת מקור הכשליםכניסה מוצלחת של משתמש אחר שוללת תקיפה
5. 5. מה מצדיק את ההחלטה?

   4740 לבדו מוכיח שהמחשב נפרץ38 כשלים באותו חשבון ומקור ואז נעילה מצדיקים חקירה; שמור ראיות ואמת את המקור לפני פעולה מאושרתביטול נעילה מספיק בלי בדיקה