Учётка svc_backup тихо ходила по 12 серверам 36 часов — Event ID 4624 Type 3 в логах, тишина в алертах. NTDS.dit скопирован, три файловых сервера зашифрованы. Не хватило одного: корреляции.SMB lateral movement (T1021.002) оставляет...
Детектирование бокового перемещения Windows: правила корреляции для SOC-аналитика
Источник: codeby.net